เหตุการณ์ในเดือนมกราคม 2026
อัปเดตสำหรับปี 2026 ในเดือนมกราคม 2026 นักวิจัยด้านความปลอดภัยพบส่วนขยาย Chrome ที่เป็นอันตราย 2 ตัว ซึ่งมีผู้ใช้งานรวมกัน กว่า 900,000 คน
ชื่อของส่วนขยายเหล่านี้ถูกตั้งให้ดูเหมือนเครื่องมือ AI จริง:
- "Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI" — กว่า 600,000 ผู้ใช้
- "AI Sidebar with Deepseek, ChatGPT, Claude and more" — กว่า 300,000 ผู้ใช้
ทั้งสองทำสิ่งเดียวกัน นั่นคือส่งการสนทนา ChatGPT และ DeepSeek ทั้งหมดไปยังเซิร์ฟเวอร์ภายนอกทุก 30 นาที
ข้อมูลที่ถูกขโมยรวมถึงซอร์สโค้ด ข้อมูลส่วนบุคคล การพูดคุยทางกฎหมาย แผนธุรกิจ และข้อมูลทางการเงิน ทุกข้อความที่ผู้ใช้พิมพ์ — เนื้อหาที่พวกเขาคิดว่าเป็นความลับ — ถูกส่งไปยังบุคคลที่ไม่รู้จัก
วิธีที่ส่วนขยายหลีกเลี่ยงสัญญาณความน่าเชื่อถือ
เครื่องมือเหล่านี้ขอ "รวบรวมข้อมูลวิเคราะห์ที่ไม่ระบุตัวตนและไม่สามารถระบุตัวตนได้" ถ้อยคำดังกล่าวฟังดูปลอดภัย
แต่ในความเป็นจริง พวกมันดึงเนื้อหาการสนทนา AI ทั้งหมด คำขอ analytics เป็นเพียงข้ออ้าง เป้าหมายที่แท้จริงคือการขโมยข้อมูลการสนทนา
เล่ห์กลนี้อธิบายว่าทำไมภัยคุกคามนี้จึงเติบโตต่อเนื่อง ผู้ใช้ที่ไม่คลิกลิงก์ฟิชชิ่งกลับติดตั้งเครื่องมือเหล่านี้ด้วยความสมัครใจ เพราะดาวน์โหลดมาจาก Chrome Web Store และดูเหมือนเครื่องมือ AI จริง
รูปแบบที่กว้างขึ้น: 67% ของส่วนขยาย AI เก็บรวบรวมข้อมูลของคุณ
กรณีในเดือนมกราคม 2026 ไม่ใช่เรื่องที่เกิดขึ้นครั้งเดียว งานวิจัยโดย Incogni พบว่า 67% ของส่วนขยาย Chrome ด้าน AI เก็บรวบรวมข้อมูลผู้ใช้อย่างแข็งขัน ซึ่งได้รับการยืนยันจากการศึกษาอิสระหลายชิ้น
นี่คือปัญหาหลัก ผู้ใช้ติดตั้งเครื่องมือเพื่อปกป้องความเป็นส่วนตัวใน AI แต่เครื่องมือเหล่านั้นส่วนใหญ่กลับเก็บข้อมูลที่อ้างว่าปกป้อง
ตลาดสร้างหมวดหมู่ขึ้นมา — เครื่องมือความเป็นส่วนตัวด้าน AI สำหรับเบราว์เซอร์ แต่ไม่ได้สร้างวิธีการตรวจสอบคำกล่าวอ้างเหล่านั้น ผลลัพธ์คือ: เครื่องมือ "ปกป้อง" กลายเป็นภัยคุกคาม
เรียนรู้เพิ่มเติมในส่วน คำศัพท์ด้านความปลอดภัย และ เอกสารการปฏิบัติตามกฎระเบียบ คุณยังสามารถดูวิธีที่เราจำแนกความเสี่ยงด้าน AI ในส่วน คู่มือข้อมูล Entity
สถาปัตยกรรมที่ปลอดภัย vs ไม่ปลอดภัย
กรณีเดือนมกราคม 2026 เผยให้เห็นช่องว่างทางเทคนิคที่สำคัญ ควรเข้าใจสิ่งนี้ก่อนติดตั้งเครื่องมือ AI ในเบราว์เซอร์
ไม่ปลอดภัย — ผ่านเซิร์ฟเวอร์ของนักพัฒนา:
- ผู้ใช้พิมพ์ใน ChatGPT
- เครื่องมือจับข้อความ
- เครื่องมือส่งข้อความไปยังเซิร์ฟเวอร์ของตนเองเพื่อ "ประมวลผล"
- เซิร์ฟเวอร์ส่งข้อความที่ประมวลผลแล้วกลับมา
- เครื่องมือส่งไปยัง ChatGPT
ทุก prompt ผ่านระบบของนักพัฒนา หากเครื่องมือเป็นอันตราย เนื้อหาทั้งหมดอยู่ในความเสี่ยง
ปลอดภัย — ประมวลผลในเครื่องเท่านั้น:
- ผู้ใช้พิมพ์ใน ChatGPT
- เครื่องมือจับข้อความ
- เครื่องมือประมวลผลข้อความ ในเบราว์เซอร์
- ข้อความที่ประมวลผลแล้วส่งตรงไปยัง ChatGPT
ไม่มีอะไรออกจากเบราว์เซอร์ยกเว้นข้อความสุดท้ายที่ส่งไปยังบริการ AI เซิร์ฟเวอร์ของนักพัฒนาไม่เคยอยู่ในเส้นทางนี้
ถามคำถามเดียว: การประมวลผลเกิดขึ้นที่ไหน? หากคำตอบคือเซิร์ฟเวอร์ของนักพัฒนา ข้อมูลของคุณผ่านบุคคลที่สาม
ส่วนขยาย Chrome ของ anonym.legal ส่งข้อความไปยัง API ของ anonym.legal ที่โฮสต์ใน EU (Hetzner, Falkenstein) เพื่อตรวจจับ PII มีเพียงข้อความที่ผ่านการลบข้อมูลแล้วเท่านั้นที่ไปถึงบริการ AI ดู ภาพรวมความปลอดภัย ของเรา
คำถาม 5 ข้อก่อนติดตั้งเครื่องมือ AI ในเบราว์เซอร์
67% ของส่วนขยาย AI เก็บรวบรวมข้อมูลผู้ใช้ ผู้ไม่ประสงค์ดีสามารถเผยแพร่เครื่องมือใน Chrome Web Store ที่มียอดติดตั้งสูง คำถาม 5 ข้อนี้ช่วยให้คุณตัดสินใจได้ดีขึ้น
1. การตรวจจับข้อมูลส่วนบุคคล (PII) ประมวลผลที่ไหน? ตรวจสอบนโยบายความเป็นส่วนตัว การตรวจจับทำในเบราว์เซอร์หรือข้อความถูกส่งไปยังเซิร์ฟเวอร์? การประมวลผลในเครื่องหมายความว่านักพัฒนาไม่เคยเห็นข้อความของคุณ
2. เกิดอะไรขึ้นกับเนื้อหาการสนทนา? เครื่องมือที่ "ปกป้อง" โดยส่งผ่าน proxy ของตนเองจะอ่านทุกอย่างที่คุณพิมพ์ เครื่องมือที่ประมวลผลข้อความในเครื่องไม่ทำเช่นนั้น
3. ผู้เผยแพร่ที่ผ่านการยืนยันคือใคร? เครื่องมือในเดือนมกราคม 2026 ผ่านการตรวจสอบของ Web Store แต่ผู้เผยแพร่ที่มีชื่อชัดเจนและธุรกิจจริงน่าเชื่อถือมากกว่าผู้ไม่ระบุตัวตนที่มีเครื่องมือฟรีและไม่มีรายได้
4. มีการรับรองความปลอดภัยอิสระหรือไม่? ISO 27001 ครอบคลุมวิธีที่ผู้จำหน่ายสร้างและจัดส่งซอฟต์แวร์ การตรวจสอบอิสระยืนยันคำกล่าวอ้างที่การตลาดไม่สามารถยืนยันได้
5. รูปแบบธุรกิจคืออะไร? สัญญาณที่ชัดเจนที่สุด: เครื่องมือฟรีสร้างรายได้อย่างไร? หากไม่มีแหล่งรายได้ ข้อมูลของคุณอาจเป็นสินค้า เครื่องมือที่ผูกกับบริการที่ต้องชำระเงินมีเหตุผลน้อยกว่าที่จะเก็บข้อมูลอย่างลับๆ
ดู FAQ สำหรับคำถามทั่วไปเกี่ยวกับความปลอดภัยของ AI ในเบราว์เซอร์
สิ่งที่เหตุการณ์นี้เปิดเผยเกี่ยวกับความปลอดภัยของ AI
ผู้ใช้ 900,000+ คนเหล่านั้นไม่ได้ประมาท พวกเขาเป็นผู้เชี่ยวชาญที่ต้องการเครื่องมือ AI และความเป็นส่วนตัว พวกเขาติดตั้งสิ่งที่ดูเหมือนผลิตภัณฑ์จริงจาก Chrome Web Store
การโจมตีได้ผลด้วยเหตุผล 4 ประการ
เครื่องมือมีฟีเจอร์จริง ไม่ใช่แค่เป็นอันตรายเท่านั้น พวกมันมีฟังก์ชัน AI ควบคู่กับการขโมยข้อมูล ทำให้ดูเหมือนผลิตภัณฑ์จริงระหว่างการใช้งานทั่วไป
สัญญาณความน่าเชื่อถือถูกปลอมแปลง ผู้ใช้หลายแสนคนสร้างหลักฐานทางสังคม การเห็นยอดติดตั้ง 600,000 ทำให้คนอื่นติดตั้งเพิ่มขึ้น ไม่ใช่น้อยลง
คำขอสิทธิ์ดูปลอดภัย "Analytics ที่ไม่ระบุตัวตนและไม่สามารถระบุตัวตนได้" เป็นภาษาที่ผู้ใช้ยอมรับโดยไม่อ่าน
การขโมยทำงานตามตัวจับเวลา ช่วงเวลา 30 นาทีจับการสนทนาทั้งหมด และยังพบไม่บ่อยพอที่จะหลีกเลี่ยงการแจ้งเตือนความปลอดภัยแบบ anomaly
กรอบความน่าเชื่อถือหลังเหตุการณ์
หลังจากเดือนมกราคม 2026 ทีม IT ขององค์กรต้องการการตรวจสอบที่เข้มงวดยิ่งขึ้นสำหรับเครื่องมือ AI ในเบราว์เซอร์
รายการขั้นต่ำที่จำเป็น:
- การประมวลผลในเครื่อง — ยืนยันโดยการตรวจสอบ ไม่ใช่แค่อ้างในการตลาด
- ตัวตนของผู้เผยแพร่ — บริษัทที่รู้จักพร้อมรูปแบบธุรกิจและประวัติจริง
- การรับรองความปลอดภัยอิสระ — ISO 27001 หรือเทียบเท่า
- นโยบายความเป็นส่วนตัวที่ชัดเจน — สิ่งที่เก็บรวบรวม ไปที่ไหน และเมื่อไหร่
- ไม่มีการส่งผ่านเซิร์ฟเวอร์ของนักพัฒนา สำหรับฟีเจอร์ความเป็นส่วนตัวหลัก
ทีมที่ใช้งานเครื่องมือ AI กับพนักงานจำนวนมากควรพิจารณา:
- ตรวจสอบเครื่องมือเบราว์เซอร์ที่ติดตั้งว่ามีการขโมยข้อมูลหรือไม่
- ติดตามการเชื่อมต่อภายนอกที่ไม่คาดคิดจากกระบวนการเบราว์เซอร์
- จัดการเครื่องมือที่ได้รับอนุมัติผ่านนโยบาย Chrome Enterprise
กรณีเดือนมกราคม 2026 เป็นคำเตือน อัตราการเก็บรวบรวมข้อมูล 67% ในส่วนขยาย AI แสดงให้เห็นว่าคำเตือนนั้นสมเหตุสมผล
สำหรับคำแนะนำสำหรับองค์กร ดูศูนย์การปฏิบัติตามข้อกำหนดและกรณีศึกษาของเรา แถลงการณ์ของผู้ก่อตั้งอธิบายว่าเหตุใดเราจึงสร้าง anonym.legal สำหรับราคาแผนองค์กร โปรดดูที่ราคา
ส่วนขยาย Chrome ของ anonym.legal ส่งข้อความไปยัง API ของ anonym.legal ที่โฮสต์ใน EU (Hetzner, ฟัลเคนชไตน์) เพื่อตรวจจับข้อมูลส่วนบุคคล มีเพียงข้อความที่ผ่านการลบข้อมูลแล้วเท่านั้นที่ไปถึงบริการ AI เผยแพร่โดย anonym.legal — โฮสต์บนโครงสร้างพื้นฐานของ Hetzner ที่ได้รับการรับรอง ISO 27001