Zaktualizowano w 2026 r.
Większość rozszerzeń AI nigdy nie jest audytowana
Chrome Web Store oferuje ponad 180 000 rozszerzeń przeglądarki. Wiele — głównie narzędzia AI — żąda szerokiego dostępu. Odczytują każdą odwiedzaną stronę. Widzą Twój schowek. Mogą blokować lub zmieniać żądania sieciowe.
USENIX Security 2025 wykazało, że 83% rozszerzeń Chrome z szerokim zakresem uprawnień nigdy nie zostało poddanych audytowi. Deweloperzy je stworzyli, opublikowali, a użytkownicy zainstalowali je w milionach egzemplarzy. Nikt nie sprawdził, czy każde narzędzie robi tylko to, co deklaruje.
Ta luka ma charakter strukturalny. Chrome Web Store skanuje w poszukiwaniu znanych złośliwych programów. Sprawdza zasady. Nie może potwierdzić, czy zbieranie danych jest w pełni ujawnione. Nie może wykryć, czy dane trafiają do ukrytych stron trzecich.
Połowa pracowników korporacyjnych korzysta z niezatwierdzonych narzędzi
Raport LayerX o bezpieczeństwie przeglądarki enterprise z 2025 r. wykazał, że 45% pracowników korporacyjnych używa rozszerzeń przeglądarki, które IT nigdy nie zatwierdziło. Ten wzorzec jest powszechny. Pracownik znajduje przydatne narzędzie. Instaluje je. IT nigdy się o tym nie dowiaduje.
Połącz 83% nieaudytowanych z 45% niezatwierdzonych. Niemal połowa pracowników korporacyjnych może korzystać z narzędzi, których bezpieczeństwo nigdy nie było sprawdzane. Ci pracownicy codziennie obsługują wrażliwe dane firmowe.
W sektorach regulowanych ryzyko jest bezpośrednie. Pracownik HR korzystający z niezweryfikowanego narzędzia czytającego zawartość schowka mógł wysłać dane osobowe do nieznanej strony trzeciej. Prawnik korzystający z niezweryfikowanego narzędzia AI do pisania mógł wysłać dane klientów do nieznanej strony. Zapoznaj się z naszymi wskazówkami dotyczącymi zgodności prawnej, aby zobaczyć, jak te ryzyka odnoszą się do RODO, HIPAA i powiązanych regulacji.
Co pokazuje incydent z 900 tys. użytkowników
Zgłoszony incydent z początku 2026 r. ilustruje tryb awarii. Złośliwe rozszerzenia Chrome ujawniły dzienniki czatów AI szacowanej liczby 900 000 użytkowników. Około 600 000 przypadków pochodziło z jednego narzędzia. Około 300 000 z innego. Oba wydawały się oferować prawdziwe funkcje AI. Oba były na liście Chrome Web Store. Oba miały dużą bazę użytkowników.
Kradzież danych była zakończona w ciągu 30 minut od instalacji. Do czasu, gdy badacze znaleźli te narzędzia, niemal milion użytkowników zdążył utracić kontrolę nad historią swoich czatów AI. Obejmowało to wszelkie wrażliwe treści, które wpisali.
Badanie Incogni z 2025 r. wykazało, że 67% rozszerzeń Chrome AI zbiera dane użytkowników. Praktyki zbierania danych, ujawnianie i cele znacznie się różnią w tej grupie. Zapoznaj się z naszym przeglądem bezpieczeństwa i zgodności, aby sprawdzić, jak kontrole na poziomie przeglądarki wypadają w porównaniu z poleganiem na własnym postępowaniu każdego narzędzia.
Ramy zarządzania dla przedsiębiorstw
Blokowanie wszystkich rozszerzeń przeglądarki nie jest realistyczne. Koszt jest zbyt wysoki. Właściwa odpowiedź to ramy zarządzania, które ograniczają ekspozycję do zweryfikowanych, zatwierdzonych narzędzi — głównie do zastosowań AI.
Umieszczanie rozszerzeń na liście dozwolonych. Określ, które rozszerzenia są dozwolone na urządzeniach firmowych. Wymagaj przeglądu bezpieczeństwa przed dodaniem nowego narzędzia. Użyj zasad Chrome Enterprise, aby zablokować instalacje spoza zatwierdzonej listy.
Bardziej rygorystyczny przegląd narzędzi AI. Każde rozszerzenie obsługujące monity AI podlega dodatkowemu sprawdzeniu. Sprawdź ruch sieciowy, aby zobaczyć, dokąd trafiają dane. Przejrzyj pełny zakres uprawnień. Zweryfikuj tożsamość wydawcy.
Kontrole na poziomie przeglądarki. W przypadku zatwierdzonych narzędzi AI zastosuj kontrole przechwytujące wrażliwą treść przed dotarciem do dostawców AI. Eliminuje to potrzebę polegania na własnym postępowaniu każdego rozszerzenia.
Wskaźnik 83% nieaudytowanych nie jest problemem, który użytkownicy mogą rozwiązać. Użytkownicy nie mogą samodzielnie audytować rozszerzeń Chrome. Zarządzanie korporacyjne — zatwierdzone listy, egzekwowanie polityk i kontrole techniczne — to niezawodna odpowiedź. Więcej informacji znajdziesz w FAQ i słowniku terminów DLP przeglądarki.
Rozszerzenie anonym.legal do Chrome wysyła tekst do hostowanego w UE API anonym.legal (Hetzner, Falkenstein) w celu wykrycia danych osobowych; do usługi AI trafia tylko oczyszczony tekst. Opublikowane przez anonym.legal — hostowane na infrastrukturze Hetzner z certyfikatem ISO 27001.