เครื่องมือความเป็นส่วนตัวที่ขโมยข้อมูล
ในเดือนธันวาคม 2025 เครื่องมือ Chrome ที่ทำตลาดเป็นผู้ป้องกันความเป็นส่วนตัว AI ถูกจับได้ว่าสอดส่อง พวกมันจับประวัติการสนทนาทั้งหมด ส่งเนื้อหานั้นไปยังเซิร์ฟเวอร์ที่ควบคุมโดยผู้โจมตี
นั่นคือความขัดแย้งหลัก คือเครื่องมือความเป็นส่วนตัวกลายเป็นภัยคุกคาม
Caviard.ai พบว่า 67% ของ Chrome add-on ด้าน AI รวบรวมข้อมูลผู้ใช้ บางตัวเปิดเผยสิ่งนี้ บางตัวไม่ แต่การเปิดเผยไม่ใช่ปัญหาจริงๆ ปัญหาจริงคือการออกแบบของเครื่องมือทำให้การขโมยข้อมูลเป็นไปไม่ได้ในเชิงโครงสร้าง หรือเพียงแค่ถูกห้ามตามนโยบาย
รายงาน GDPR ปี 2025 ของ DLA Piper พบว่า ค่าปรับเฉลี่ยเพิ่มขึ้น 34% ในปี 2024 เทียบกับปี 2023 แนวโน้มนั้นเพิ่มเดิมพันสำหรับเจ้าหน้าที่คุ้มครองข้อมูลที่อนุมัติเครื่องมือ browser สำหรับเจ้าหน้าที่
การประมวลผลในเครื่องที่แท้จริงมีลักษณะอย่างไร
เครื่องมือการประมวลผลในเครื่องที่แท้จริงจะรันโมเดลการตรวจจับภายใน browser โมเดลถูกรวมเข้ากับการติดตั้งหรือดาวน์โหลดครั้งเดียว หลังจากนั้น เนื้อหาไม่เคยไปยังเซิร์ฟเวอร์ของผู้เผยแพร่
traffic ขาออกเดียวคือ prompt ที่ทำให้ไม่ระบุตัวตนไปยังบริการ AI และคำขอ browser ตามปกติเช่นการตรวจสอบอัปเดต เนื้อหาไม่เคยข้ามเครือข่ายของผู้เผยแพร่
การออกแบบนี้สามารถทดสอบและตรวจสอบได้ คำสัญญาของผู้เผยแพร่ไม่สามารถเชื่อถือได้ด้วยตัวเอง เหตุการณ์เดือนธันวาคม 2025 พิสูจน์ประเด็นนั้น
วิธีตรวจสอบเครื่องมือความเป็นส่วนตัวใดๆ
อย่าถามว่าผู้เผยแพร่สัญญาว่าจะรักษาความเป็นส่วนตัวหรือไม่ ถามว่าการออกแบบทำให้การขโมยข้อมูลเป็นไปไม่ได้หรือเปล่า
การทดสอบเครือข่าย: ติดตั้งเครื่องมือในเครือข่ายที่ถูกติดตาม วางตัวระบุส่วนบุคคลปลอมลงในบัญชี AI ทดสอบ ดูการเชื่อมต่อขาออกทั้งหมดเป็นเวลา 30 วินาที หากมี traffic ไปยัง domain ที่ไม่ใช่แพลตฟอร์ม AI หรือเซิร์ฟเวอร์อัปเดตของเครื่องมือ เนื้อหาของคุณกำลังถูกส่งไปที่อื่น
การตรวจสอบโค้ด: Chrome add-on เป็น JavaScript bundle สามารถ decompile ได้ เครื่องมือการประมวลผลในเครื่องที่แท้จริงไม่มีการเรียกเครือข่ายในโค้ดการตรวจจับ ไม่มี fetch, ไม่มี XMLHttpRequest, ไม่มี WebSocket ในโมดูลการตรวจจับเป็นสัญญาณที่ดี การมีอยู่ของมันเป็นตัวทำลายข้อตกลง
การตรวจสอบสิทธิ์: Chrome Manifest V3 ต้องการสิทธิ์ที่ชัดเจน เครื่องมือการประมวลผลในเครื่องไม่จำเป็นต้องมีสิทธิ์ในการส่งเนื้อหานอก browser การเข้าถึง clipboard บวกกับสิทธิ์เครือข่ายที่กว้างขวางโดยไม่มีเหตุผลที่ชัดเจนเป็นสัญญาณเตือน
การตรวจสอบผู้เผยแพร่: สถานะ Verified publisher บน Chrome Web Store ต้องการการพิสูจน์ domain และเอกสารตัวตน ผู้เผยแพร่ใหม่ที่มี domain ใหม่ที่ขายเครื่องมือความเป็นส่วนตัว AI ต้องการการตรวจสอบพิเศษ ผู้โจมตีในเดือนธันวาคม 2025 ใช้ตัวตนที่มีอายุสั้นเพื่อหลีกเลี่ยงการตรวจจับ
ผู้ใช้ 900,000 คนได้รับผลกระทบ
การวิเคราะห์ของ Astrix Security ในเดือนธันวาคม 2025 พบว่า 900,000 คนถูกโจมตี โดย add-on ที่แอบอ้างเป็นเครื่องมือความเป็นส่วนตัว ผู้ใช้เหล่านั้นเลือกเครื่องมือเหล่านี้เพื่อปกป้อง AI session ของพวกเขา เครื่องมือทำตรงกันข้าม
เซสชันเจ้าหน้าที่ที่ถูกโจมตีหนึ่งครั้งสามารถเปิดเผยข้อมูลลูกค้า ไฟล์กฎหมาย และแผนภายใน ภาพรวมความปลอดภัยและการปฏิบัติตาม อธิบายว่าห่วงโซ่ความเสี่ยงนั้นทำงานอย่างไร
การเลือกเครื่องมือที่คุณสามารถยืนยันได้
Chrome Extension ของ anonym.legal รันการตรวจจับ PII ภายใน browser อย่างสมบูรณ์ ไม่มีอะไรถูกส่งไปยังเซิร์ฟเวอร์ anonym.legal ณ จุดใดจุดหนึ่ง
| Add-on ที่เป็นอันตราย | anonym.legal | |
|---|---|---|
| การประมวลผล | เซิร์ฟเวอร์ระยะไกล | Browser เท่านั้น |
| ขอบเขตการเข้าถึง | จับเซสชันทั้งหมด | เฉพาะเมื่อใช้งาน |
| ผู้ใช้สามารถยืนยันได้ | ไม่ | ใช่ — ทดสอบเครือข่าย |
วิธีการทำงาน:
- คุณวางข้อความที่มีตัวระบุส่วนบุคคล
- การตรวจจับทำงานในเครื่องใน browser ของคุณ
- ชื่อและ ID กลายเป็น token เช่น "Jane Smith" กลายเป็น
[PERSON_1] - ข้อความที่สะอาดไปยัง AI
- การตอบสนองของ AI ถูกกู้คืนสำหรับคุณในเครื่อง
ศูนย์การปฏิบัติตาม ครอบคลุมรายการ entity ทั้งหมดและรายละเอียดการตรวจสอบองค์กร