2026년 1월 사건
2026년 1월에 발견된 두 개의 Chrome 확장 프로그램 — "Chat GPT for Chrome with GPT-5, Claude Sonnet and DeepSeek AI" (600,000+ 사용자)와 "AI Sidebar with Deepseek, ChatGPT, Claude and more" (300,000+ 사용자) — 는 30분마다 원격 명령 및 제어 서버로 완전한 AI 대화 기록을 유출하고 있었습니다.
이 확장 프로그램들은 개인 정보 보호 및 AI 향상 도구로 자신을 소개했습니다. 그들의 Chrome 웹 스토어 설명은 사용자 데이터 보호 및 개인 정보 우선 설계를 강조했습니다. 그러나 Astrix Security의 분석에 의해 확인된 실제 행동은 ChatGPT, DeepSeek 및 기타 AI 플랫폼에서 완전한 대화 기록을 캡처한 후 공격자가 제어하는 서버로 전송하는 것이었습니다. 캡처된 대화에는 소스 코드, 개인 식별 정보, 법적 전략 논의, 사업 계획 및 재무 데이터가 포함되었습니다.
이 확장 프로그램들은 "익명 비식별 분석 데이터를 수집"할 수 있는 권한을 요청했습니다. 그러나 실제로는 최대 충실도로 완전히 식별 가능한 고도로 민감한 데이터를 수집했습니다.
보안 역전 문제
AI 개인 정보 보호 확장 프로그램을 설치하는 사용자는 자신의 AI 대화를 보호하는 도구에 대한 선호를 표현하고 있습니다. 2026년 1월 사건은 그 선호의 최악의 결과를 문서화했습니다: 개인 정보 보호를 위해 설치한 도구가 실제로는 데이터 유출 메커니즘이었습니다.
이는 단순한 위험이 아니라 900,000명의 사용자에게 동시에 영향을 미치는 문서화된 결과입니다. Chrome 웹 스토어의 자동 스캐닝은 악성 행동을 감지하지 못했습니다. 왜냐하면 확장 프로그램의 데이터 수집이 분석으로 위장되었기 때문입니다. 사용자 리뷰는 문제를 드러내지 않았습니다. 왜냐하면 사용자는 네트워크 트래픽에 대한 가시성이 없었기 때문입니다.
Incogni의 연구에 따르면 **AI Chrome 확장 프로그램의 67%**가 사용자 데이터를 적극적으로 수집하고 있습니다 — 이는 공개된 분석 수집과 비공식적인 유출을 모두 포함한 수치입니다. AI 개인 정보 보호 확장 프로그램을 배포하는 기업 IT 팀에게 중요한 질문은 "이 확장 프로그램이 데이터를 수집합니까?"가 아니라 "이 확장 프로그램의 데이터 흐름이 대화 내용을 유출할 수 없는 아키텍처적으로 설계되었는가?"입니다.
아키텍처 검증 테스트
신뢰할 수 있는 로컬 처리를 위한 검증 테스트는 기술적이며 선언적이지 않습니다: 확장 프로그램이 주장하는 로컬 처리가 네트워크 모니터링에 의해 독립적으로 검증될 수 있는가?
PII 감지를 로컬에서 처리하는 확장 프로그램 — TensorFlow.js, WASM 또는 로컬 바이너리를 사용하여 클라이언트 측에서 감지 모델을 실행하는 경우 — 는 PII 감지 단계에서 아웃바운드 네트워크 트래픽을 생성하지 않습니다. 사용자의 워크스테이션에서 네트워크 모니터링은 사용자의 붙여넣기 이벤트와 AI 플랫폼에 제출하는 사이에 외부 서버와의 연결이 없음을 보여야 합니다. 유일한 아웃바운드 트래픽은 AI 제공자에게 가는 익명화된 프롬프트여야 합니다.
트래픽을 프록시 서버를 통해 라우팅하는 확장 프로그램 — 프록시가 "개인 정보 보호를 보존하는 중계"로 설명되더라도 — 는 사용자 콘텐츠를 제3자 서버로 전송합니다. 프록시 운영자의 보안은 이제 사용자의 위협 모델의 일부입니다.
기업 IT 팀이 브라우저 확장 프로그램을 기업 승인 목록에 추가할 때 검증 프로토콜은: 모니터링된 네트워크 환경에서 확장 프로그램을 배포하고, 대표적인 테스트 트래픽을 생성하며, PII 처리 중에 확장 프로그램 게시자의 서버에 아웃바운드 연결이 발생하지 않음을 확인하는 것입니다. 이 테스트를 통과하지 못하는 확장 프로그램은 명시된 개인 정보 보호 약속과 관계없이 기업 배포를 승인해서는 안 됩니다.
모든 감지가 클라이언트 측에서 실행되고 익명화 단계에 서버 측 구성 요소가 없는 로컬 처리 아키텍처는 확장 프로그램의 개인 정보 보호 주장을 독립적으로 검증할 수 있게 해주는 아키텍처적 속성입니다. 이는 발행자의 주장을 신뢰할 필요가 없음을 의미합니다.
출처: