Insiden Januari 2026
Dikemas kini untuk 2026. Pada Januari 2026, dua tambahan Chrome berniat jahat ditemui dengan 900,000+ pengguna.
Nama-nama mereka kelihatan seperti alat AI tulen:
- "Chat GPT for Chrome with GPT-5, Claude Sonnet and DeepSeek AI" - 600,000+ pengguna
- "AI Sidebar with Deepseek, ChatGPT, Claude and more" - 300,000+ pengguna
Kedua-duanya melakukan perkara yang sama. Setiap 30 minit, mereka menghantar sembang AI penuh ke pelayan jauh. Data yang dicuri termasuk kod, maklumat peribadi, nota undang-undang, dan pelan perniagaan. Astrix Security mengesahkan ini.
Tambahan-tambahan ini meminta untuk "mengumpul data analitik tanpa nama dan tidak boleh dikenal pasti." Ungkapan itu kedengaran selamat. Ia tidak selamat. Data yang dikumpul boleh dikenal pasti sepenuhnya dan sangat sensitif.
Masalah Songsang Keselamatan
Pengguna yang memasang alat privasi AI menginginkan perlindungan. Kes Januari 2026 menunjukkan hasil terburuk: alat yang anda pasang untuk privasi adalah alat yang mencuri data anda.
Ini bukan teori. Ia berlaku kepada 900,000 pengguna serentak. Pengimbasan Chrome Web Store tidak mengesannya. Ulasan pengguna tidak mendedahkannya. Kecurian disembunyikan sebagai "analitik."
Incogni mendapati bahawa 67% tambahan Chrome AI secara aktif mengumpul data pengguna. Bagi pasukan IT, soalan utama bukan "adakah ini mengumpul sebarang data?" Ia adalah: "bolehkah saya mengesahkan tambahan ini tidak boleh menghantar kandungan perbualan kepada pihak ketiga?"
Ujian Pengesahan Seni Bina
Terdapat satu pemeriksaan yang boleh dipercayai untuk pemprosesan tempatan: pemantauan rangkaian.
Tambahan yang mengesan PII secara tempatan menghasilkan sifar trafik keluar semasa pengesanan. Tiada sambungan ke mana-mana pelayan luaran sepatutnya muncul antara tampal pengguna dan penyerahan platform AI. Hanya gesaan yang diproses dihantar keluar.
Tambahan yang menghalakan trafik melalui proksi menghantar kandungan anda ke pelayan pihak ketiga. Pengendali pelayan tersebut kini berada dalam model ancaman anda.
Langkah pengesahan IT adalah mudah:
- Sebarkan tambahan dalam rangkaian yang dipantau
- Jalankan gesaan ujian
- Semak sambungan keluar ke pelayan penerbit semasa pemprosesan PII
Jika ia gagal ujian ini, jangan luluskan. Tuntutan pemasaran tidak penting. Trafik rangkaian adalah buktinya.
Pemprosesan tempatan boleh dipercayai kerana ia boleh disahkan. Anda tidak perlu mempercayai penerbit. Anda boleh memerhati tingkah laku secara langsung. Sambungan Chrome anonym.legal menghantar teks ke API anonym.legal yang dihoskan di EU (Hetzner, Falkenstein) untuk pengesanan PII; hanya teks yang telah disanitasi sampai ke perkhidmatan AI. Lihat gambaran keselamatan sambungan Chrome dan panduan pematuhan kami.
Apa yang Harus Diperlukan oleh Pasukan IT
Selepas Januari 2026, tahap untuk alat pelayar AI mesti lebih tinggi.
Senarai minimum:
- Pemprosesan tempatan - disahkan melalui audit rangkaian, bukan sekadar dituntut
- Penerbit yang dikenali - syarikat sebenar, model perniagaan yang jelas
- Pensijilan bebas - ISO 27001 atau setara
- Tiada penghalaan pelayan pembangun untuk ciri privasi teras
Kebanyakan tambahan pelayar AI tidak akan lulus senarai ini. Kadar koleksi 67% membuktikan perkara itu. Bilangan pemasangan yang tinggi bukan isyarat keselamatan. Alat-alat Januari 2026 mempunyai ratusan ribu pengguna sebelum sesiapa menyemaknya.
Untuk maklumat lanjut tentang alat pelayar AI yang selamat, lihat halaman keselamatan dan pematuhan kami.