Januari 2026-incidenten
I januari 2026 upptäckte säkerhetsforskare två skadliga Chrome-förlängningar som hade komprometterat 900,000+ användare.
Förlängningarnas namn valdes medvetet för att verka som legitima AI-förbättringsverktyg:
- "Chat GPT för Chrome med GPT-5, Claude Sonnet & DeepSeek AI" — 600,000+ användare
- "AI Sidebar med Deepseek, ChatGPT, Claude och mer" — 300,000+ användare
Båda förlängningarna gjorde samma sak: exfiltrera kompletta ChatGPT- och DeepSeek-konversationer var 30:e minut till en fjärrstyrd server för kommandon och kontroll.
Data som flöt ut inkluderade källkod, personligt identifierbar information, juridiska frågor under diskussion, affärsstrategier och finansiell data. Allt som användarna hade skrivit i sina AI-chatsessioner — allt de ansåg vara privat — överfördes till okända parter.
Hur förlängningarna kringgick förtroendesignaler
Förlängningarna begärde tillstånd att "samla in anonym, icke identifierbar analysdata" — språk som beräknades för att verka ofarligt under tillståndsgranskningen.
I verkligheten fångade de hela innehållet i AI-konversationer. Analysbehörigheten var fordonet; exfiltreringen av AI-konversationer var lasten.
Denna teknik — att använda oskyldigt klingande tillstånd för att möjliggöra skadlig datainsamling — representerar den operativa handboken som har gjort hotkategorin för Chrome-förlängningar så beständig. Användare som aldrig skulle klicka på en phishing-länk installerade dessa förlängningar medvetet, från Chrome Web Store, eftersom de verkade erbjuda AI-produktivitetsfördelar.
Det bredare mönstret: 67% av AI-förlängningar samlar in dina data
Januari 2026-incidenten var inte ett avvikande fall. Forskning av Incogni visade att 67% av AI Chrome-förlängningar aktivt samlar in användardata — en siffra som bekräftas av flera oberoende analyser av förlängningsekosystemet.
Detta är den centrala paradoxen i marknaden för AI-integritetsförlängningar: förlängningarna som användare installerar specifikt för att skydda sin AI-integritet samlar i de flesta fall in samma data.
Marknaden skapade en kategori — AI-integritetsverktyg för webbläsare — men skapade inte pålitliga mekanismer för användare att verifiera om en given förlängning faktiskt erbjuder integritet eller bara påstår sig göra det. Resultatet: en marknad där verktyget som installerades för skydd är själva attackvektorn.
Arkitekturen som särskiljer säker från osäker
Januari 2026-incidenten illustrerar en specifik teknisk distinktion som användare bör förstå när de utvärderar någon AI-nära Chrome-förlängning.
Osäker arkitektur — routing genom förlängningens servrar:
- Användare skriver in i ChatGPT
- Förlängningen fångar texten
- Förlängningen överför texten till sin egen backend-server för "bearbetning"
- Backend-servern returnerar bearbetad text
- Förlängningen skickar till ChatGPT
I denna arkitektur passerar varje prompt genom förlängningsutvecklarens infrastruktur. Förlängningsutvecklaren har full tillgång till konversationsinnehållet. Om förlängningen är skadlig (eller senare förvärvas av en skadlig aktör, eller bryts), exponeras allt det innehållet.
Säker arkitektur — lokal bearbetning endast:
- Användare skriver in i ChatGPT
- Förlängningen fångar texten
- Förlängningen bearbetar texten lokalt i webbläsaren (med samma JavaScript-runtime som driver förlängningen)
- Bearbetad text skickas direkt till ChatGPT
I denna arkitektur lämnar inget användarens webbläsare förutom den slutliga bearbetade texten som skickas till AI-tjänsten. Förlängningsutvecklarens infrastruktur är aldrig i datapathen.
Frågan att ställa om någon AI-integritetsförlängning: var sker bearbetningen? Om svaret involverar förlängningens egna servrar, flödar dina data genom en tredje part.
Fem frågor att ställa innan du installerar en AI-integritetsförlängning
Givet att 67% av AI Chrome-förlängningar samlar in användardata (Incogni-forskning), och givet att skadliga förlängningar kan dyka upp på Chrome Web Store med hundratusentals användare, spelar utvärderingsramverket roll.
1. Var bearbetas PII-detektering? Fråga direkt eller hitta i integritetspolicyn: utförs PII-detektering lokalt i webbläsaren, eller skickas text till förlängningens backend-servrar för analys? Lokal bearbetning innebär att förlängningsutvecklaren aldrig ser din text.
2. Vad händer med konversationsinnehållet? Förlängningar som "skyddar" genom att routa genom sina egna proxyservrar har full tillgång till allt du skriver. Förlängningar som modifierar text lokalt och skickar direkt till AI-tjänsten gör inte det.
3. Vem är den verifierade utgivaren? Chrome Web Stores utgivareverifieringssystem är ofullkomligt — januari 2026-förlängningarna passerade — men en verifierad utgivare med en etablerad identitet och en affärsmodell oberoende av datainsamling är mer pålitlig än en anonym utgivare med en gratis förlängning och ingen uppenbar intäktsmodell.
4. Finns det oberoende säkerhetscertifiering? ISO 27001-certifiering täcker leverantörens informationssäkerhetshanteringssystem, inklusive deras förlängningsutveckling och distributionspraxis. Oberoende säkerhetsrevisioner ger extern verifiering av de påståenden som görs.
5. Vad är affärsmodellen? Den mest hållbara signalen: hur tjänar denna gratis förlängningsutvecklare pengar? Om det inte finns någon uppenbar intäktsmodell är användardata sannolikt produkten. En förlängning som är en del av en betald SaaS-produkt med en verifierbar affärsmodell har mindre incitament att hemligt monetisera användardata.
Vad januari 2026-incidenten avslöjar om AI-säkerhet
De 900,000+ komprometterade användarna i januari 2026 var inte osofistikerade. De var yrkesverksamma som hade sökt efter AI-produktivitetsverktyg, som ville ha integritetsskydd för sina AI-interaktioner, och som installerade vad som verkade vara legitima verktyg från Chrome Web Store.
Attacken fungerade eftersom:
Förlängningarna erbjöd verklig funktionalitet: De var inte helt skadliga — de tillhandahöll AI-relaterade funktioner tillsammans med exfiltreringen. Detta gjorde dem funktionellt odistinkta från legitima verktyg under avslappnad användning.
Förtroendesignaler tillverkades: Hundratusentals användare skapar socialt bevis. Användare som såg 600,000 installationer var mer benägna att installera, inte mindre.
Tillståndsfrågan var utformad för att inte väcka oro: "Anonym, icke identifierbar analys" är exakt den typ av tillståndsspråk som användare godkänner utan granskning.
Exfiltreringen var schemalagd för att minimera upptäckten: 30-minutersintervall är tillräckligt frekventa för att fånga alla konversationer men tillräckligt sällsynta för att undvika att utlösa anomalibaserad säkerhetsövervakning.
Det post-incidenta förtroende-ramverket
Efter januari 2026-incidenten bör företags IT-team som utvärderar AI-integritetsförlängningar för distribution till sin arbetskraft tillämpa ett mer rigoröst förtroende-ramverk än vad som fanns tidigare.
De minimi krav som krävs:
- Lokal bearbetningsarkitektur — verifierad genom teknisk granskning eller oberoende revision, inte bara påstådd i marknadsföring
- Verifiering av utgivarens identitet — etablerat företag med verifierbar affärsmodell och historia
- Oberoende säkerhetscertifiering — ISO 27001 eller motsvarande
- Integritetspolicy som specifikt adresserar förlängningsdataflöden — inklusive vad som samlas in, vart det skickas och under vilka omständigheter
- Ingen routing genom förlängningsutvecklarens servrar för kärnintegritetsfunktionalitet
Organisationer som distribuerar AI-förlängningar till hundratals eller tusentals anställda bör också överväga:
- Regelbundna revisioner av installerade förlängningar för dataintegritetsbeteende
- Nätverksövervakning för att upptäcka oväntade externa anslutningar från webbläsarprocesser
- Godkännandelistor för godkända förlängningar distribuerade via Chrome Enterprise-policy
Januari 2026-incidenten var en varning. Den 67% datainsamlingsgraden över AI-förlängningar tyder på att varningen var berättigad.
anonym.legal's Chrome-förlängning bearbetar PII-detektering lokalt — inget konversationsinnehåll överförs till anonym.legal's servrar under PII-detektering. Anonymiseringen sker i webbläsaren innan den modifierade prompten skickas till AI-tjänsten. Publicerad av anonym.legal, ISO 27001-certifierad.
Källor:
- The Hacker News: Två Chrome-förlängningar fångade stjäla ChatGPT- och DeepSeek-konversationer
- OX Security: Skadliga AI Chrome-förlängningar stjäl ChatGPT/DeepSeek-konversationer
- Incogni: Ranking av AI-drivna Chrome-förlängningar efter integritetsrisk
- Caviard.ai: Bästa integritetsförlängningar för Chrome för AI-assistenter