Incidenten i januari 2026
I januari 2026 upptäckte säkerhetsforskare två skadliga Chrome-tillägg som hade komprometterat 900 000+ användare.
Tilläggens namn valdes avsiktligt för att verka som legitima AI-förbättringsverktyg:
- "Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI" — 600 000+ användare
- "AI Sidebar with Deepseek, ChatGPT, Claude and more" — 300 000+ användare
Båda tilläggen gjorde samma sak: exfiltrerade fullständiga ChatGPT- och DeepSeek-konversationer var 30:e minut till en fjärrstyrd kommando-och-kontroll-server.
Den data som lades ut inkluderade källkod, personligt identifierbar information, juridiska frågor under diskussion, affärsstrategier och ekonomisk data. Allt som användare hade skrivit in i sina AI-chattsessioner — allt de ansåg vara privat — överfördes till okända parter.
Hur tilläggen kringgick förtroendesignaler
Tilläggen begärde tillstånd att "samla in anonyma, icke-identifierbara analysdata" — formulering som var beräknad att verka ofarlig vid behörighetsgranskningen.
I verkligheten fångade de fullständigt innehåll i AI-konversationer. Analysbehörigheten var fordonet; AI-konversationsexfiltreringen var nyttolasten.
Denna teknik — att använda oskyldigt klingande behörigheter för att möjliggöra skadlig datainsamling — representerar det operativa mönster som har gjort Chrome-tilläggshot-kategorin så bestående. Användare som aldrig skulle klicka på en phishing-länk installerade dessa tillägg avsiktligt, från Chrome Web Store, eftersom de verkade erbjuda AI-produktivitetsfördelar.
Det bredare mönstret: 67 % av AI-tillägg samlar in din data
Incidenten i januari 2026 var inte en avvikelse. Forskning från Incogni visade att 67 % av AI Chrome-tillägg aktivt samlar in användardata — en siffra som bekräftas av flera oberoende analyser av tilläggekosystemet.
Detta är kärnparadoxen på AI-integritetsmarknaden för tillägg: de tillägg som användare installerar specifikt för att skydda sin AI-integritet samlar i de flesta fall in just den datan.
Marknaden skapade en kategori — AI-integritetsverktyg för webbläsare — men skapade inte pålitliga mekanismer för användare att verifiera om ett givet tillägg faktiskt tillhandahåller integritet eller bara påstår det. Resultatet: en marknad där verktyget som installeras för skydd självt är attackvektorn.
Arkitekturen som skiljer säkra från osäkra
Incidenten i januari 2026 illustrerar en specifik teknisk skillnad som användare bör förstå när de utvärderar Chrome-tillägg i AI-kategori.
Osäker arkitektur — routing via tilläggets servrar:
- Användaren skriver in i ChatGPT
- Tillägget fångar upp texten
- Tillägget överför text till sin egen backendserver för "bearbetning"
- Backendservern returnerar bearbetad text
- Tillägget skickar till ChatGPT
I denna arkitektur passerar varje prompt genom tilläggutvecklarens infrastruktur. Tilläggutvecklaren har full tillgång till konversationsinnehåll. Om tillägget är skadligt (eller senare förvärvas av en skadlig aktör, eller utsätts för intrång), exponeras allt detta innehåll.
Säker arkitektur — enbart lokal bearbetning:
- Användaren skriver in i ChatGPT
- Tillägget fångar upp texten
- Tillägget bearbetar texten lokalt i webbläsaren (med samma JavaScript-runtime som driver tillägget)
- Bearbetad text skickas direkt till ChatGPT
I denna arkitektur lämnar ingenting användarens webbläsare förutom den slutliga bearbetade texten som skickas till AI-tjänsten. Tilläggutvecklarens infrastruktur befinner sig aldrig i dataflödet.
Frågan att ställa till vilket AI-integritets-tillägg som helst: var sker bearbetningen? Om svaret involverar tilläggets egna servrar, flödar din data via en tredje part.
Fem frågor att ställa innan du installerar ett AI-integritets-tillägg
Givet att 67 % av AI Chrome-tillägg samlar in användardata (Incogni-forskning), och givet att skadliga tillägg kan visas på Chrome Web Store med hundratusentals användare, spelar utvärderingsramverket roll.
1. Var bearbetas PII-detektion? Fråga direkt eller hitta i integritetspolicyn: utförs PII-detektion lokalt i webbläsaren, eller skickas text till tilläggets backendservrar för analys? Lokal bearbetning innebär att tilläggutvecklaren aldrig ser din text.
2. Vad händer med konversationsinnehåll? Tillägg som "skyddar" genom att routa via sina egna proxyservrar har full tillgång till allt du skriver. Tillägg som modifierar text lokalt och skickar direkt till AI-tjänsten gör det inte.
3. Vem är den verifierade utgivaren? Chrome Web Stores utgivarverifieringssystem är ofullständigt — tilläggen från januari 2026 passerade — men en verifierad utgivare med en etablerad identitet och en affärsmodell oberoende av datainsamling är mer pålitlig än en anonym utgivare med ett gratis tillägg och ingen uppenbar intäktsmodell.
4. Finns det oberoende säkerhetscertifiering? ISO 27001-certifiering täcker leverantörens informationssäkerhetshanteringssystem, inklusive deras tilläggutvecklings- och distributionspraxis. Oberoende säkerhetsrevisioner tillhandahåller extern verifiering av de påståenden som görs.
5. Vad är affärsmodellen? Den mest hållbara signalen: hur tjänar denna gratis tilläggutvecklare pengar? Om det inte finns någon uppenbar intäktsmodell är användardata troligen produkten. Ett tillägg som är en del av en betald SaaS-produkt med en verifierbar affärsmodell har mindre incitament att monetisera användardata i hemlighet.
Vad januariincidenten 2026 avslöjar om AI-säkerhet
De 900 000+ komprometterade användarna i januari 2026 var inte osofistikerade. De var proffs som hade sökt AI-produktivitetsverktyg, som ville ha integritetsskydd för sina AI-interaktioner, och som installerade vad som verkade vara legitima verktyg från Chrome Web Store.
Attacken fungerade eftersom:
Tilläggen erbjöd verklig funktionalitet: De var inte enbart skadliga — de tillhandahöll AI-relaterade funktioner bredvid exfiltreringen. Detta gjorde dem funktionellt omöjliga att skilja från legitima verktyg vid casual användning.
Förtroendesignaler var konstruerade: Hundratusentals användare skapar socialt bevis. Användare som såg 600 000 installationer var mer benägna att installera, inte mindre.
Behörighetsbegäran var utformad för att inte väcka oro: "Anonym, icke-identifierbar analys" är exakt den typ av behörighetsspråk som användare godkänner utan granskning.
Exfiltreringen var schemalagd för att minimera detektering: 30-minuters intervaller är tillräckligt frekventa för att fånga alla konversationer men tillräckligt sällan för att undvika att utlösa anomalibaserad säkerhetsövervakning.
Förtroendeframverket efter incidenten
Efter januariincidenten 2026 bör företags-IT-team som utvärderar AI-integritets-tillägg för driftsättning till sin personalstyrka tillämpa ett mer rigoröst förtroendeframverk än vad som fanns tidigare.
Minsta nödvändiga element:
- Lokal bearbetningsarkitektur — verifierad av teknisk granskning eller oberoende revision, inte bara påstådd i marknadsföring
- Utgivaridentitetsverifiering — etablerat företag med verifierbar affärsmodell och historik
- Oberoende säkerhetscertifiering — ISO 27001 eller likvärdig
- Integritetspolicy som specifikt adresserar tilläggets dataflöden — inklusive vad som samlas in, var det skickas och under vilka omständigheter
- Ingen routing via tilläggutvecklarens servrar för central integritetsfunktionalitet
Organisationer som driftsätter AI-tillägg till hundratals eller tusentals anställda bör också överväga:
- Regelbundna revisioner av installerade tillägg för dataexfiltreringsbeteende
- Nätverksövervakning för att detektera oväntade externa anslutningar från webbläsarprocesser
- Tillåtningslistor för godkända tillägg driftsatta via Chrome Enterprise-policy
Januariincidenten 2026 var en varning. Den 67-procentiga datainsamlingsfrekvensen över AI-tillägg antyder att varningen var berättigad.
anonym.legals Chrome-tillägg bearbetar PII-detektion lokalt — inget konversationsinnehåll överförs till anonym.legals servrar under PII-detektion. Anonymiseringen sker i webbläsaren innan den modifierade prompten skickas till AI-tjänsten. Publicerat av anonym.legal, ISO 27001-certifierat.
Källor: