Công cụ bảo mật lại đánh cắp dữ liệu
Tháng 12 năm 2025, các công cụ Chrome được tiếp thị là bộ bảo vệ quyền riêng tư AI bị bắt quả tang theo dõi người dùng. Chúng thu thập toàn bộ lịch sử trò chuyện. Chúng gửi nội dung đó đến máy chủ do kẻ tấn công kiểm soát.
Đây là nghịch lý cốt lõi: công cụ bảo mật đã trở thành mối đe dọa.
Caviard.ai phát hiện 67% tiện ích bổ sung Chrome dựa trên AI thu thập dữ liệu người dùng. Một số công bố điều này. Một số không. Nhưng việc công bố không phải là vấn đề thực sự. Vấn đề thực sự là liệu thiết kế của công cụ có làm cho việc đánh cắp dữ liệu không thể xảy ra về mặt cấu trúc — hay chỉ bị cấm theo chính sách.
Báo cáo GDPR 2025 của DLA Piper ghi nhận mức phạt trung bình tăng 34% năm 2024 so với 2023. Xu hướng này nâng cao mức độ rủi ro cho bất kỳ cán bộ bảo vệ dữ liệu nào phê duyệt công cụ trình duyệt cho nhân viên.
Xử lý cục bộ thực sự trông như thế nào
Một công cụ xử lý cục bộ thực sự chạy mô hình phát hiện của nó bên trong trình duyệt. Mô hình được bao gồm trong bản cài đặt hoặc được tải xuống một lần. Sau đó, không có nội dung nào bao giờ tiếp cận máy chủ của nhà xuất bản.
Lưu lượng ra ngoài duy nhất là prompt đã ẩn danh hóa đến dịch vụ AI và các yêu cầu trình duyệt thông thường như kiểm tra cập nhật. Nội dung không bao giờ đi qua mạng của nhà xuất bản.
Thiết kế này có thể được kiểm tra và xác minh. Lời hứa của nhà xuất bản không thể được chấp nhận ở mức mặt tiền. Các sự cố tháng 12 năm 2025 đã chứng minh điều đó rõ ràng.
Cách xác minh bất kỳ công cụ bảo mật nào
Đừng hỏi liệu nhà xuất bản có hứa về quyền riêng tư không. Hãy hỏi liệu thiết kế có làm cho việc đánh cắp dữ liệu không thể xảy ra không.
Kiểm tra mạng: Cài đặt công cụ trong mạng được giám sát. Dán các định danh cá nhân giả vào tài khoản AI thử nghiệm. Giám sát tất cả kết nối ra ngoài trong 30 giây. Nếu bất kỳ lưu lượng nào đi đến tên miền khác ngoài nền tảng AI hoặc máy chủ cập nhật của công cụ, nội dung của bạn đang được định tuyến đi nơi khác.
Xem xét mã nguồn: Tiện ích bổ sung Chrome là các bundle JavaScript. Chúng có thể được giải mã. Một công cụ xử lý cục bộ thực sự không có lệnh gọi mạng trong mã phát hiện. Sự vắng mặt của fetch, XMLHttpRequest hoặc WebSocket trong mô-đun phát hiện là dấu hiệu tốt. Sự hiện diện của chúng là tín hiệu cảnh báo dứt khoát.
Kiểm tra quyền: Chrome Manifest V3 yêu cầu quyền rõ ràng. Một công cụ xử lý cục bộ không cần quyền để gửi nội dung ra ngoài trình duyệt. Truy cập clipboard kết hợp với quyền mạng rộng — không có lý do rõ ràng — là dấu hiệu cảnh báo.
Kiểm tra nhà xuất bản: Trạng thái nhà xuất bản đã xác minh trên Chrome Web Store yêu cầu bằng chứng tên miền và giấy tờ tùy thân. Các nhà xuất bản mới với tên miền mới bán công cụ AI bảo mật cần được kiểm tra thêm. Những kẻ tấn công trong sự cố tháng 12 năm 2025 đã dùng danh tính ngắn hạn để tránh bị phát hiện.
900.000 người dùng bị ảnh hưởng
Phân tích của Astrix Security về sự cố tháng 12 năm 2025 phát hiện 900.000 người dùng bị ảnh hưởng bởi các tiện ích bổ sung tự nhận là công cụ bảo vệ quyền riêng tư. Những người dùng đó đã chọn các công cụ này để bảo vệ phiên AI của họ. Các công cụ đã làm điều ngược lại.
Một phiên làm việc của nhân viên bị xâm phạm có thể lộ hồ sơ khách hàng, tài liệu pháp lý và kế hoạch nội bộ. Tổng quan bảo mật và tuân thủ giải thích chuỗi rủi ro này hoạt động như thế nào.
Chọn một công cụ có thể xác minh
Tiện ích Chrome của anonym.legal chạy phát hiện PII hoàn toàn bên trong trình duyệt. Không có gì được gửi đến máy chủ của anonym.legal vào bất kỳ thời điểm nào.
| Tiện ích bổ sung độc hại | anonym.legal | |
|---|---|---|
| Xử lý | Máy chủ từ xa | Chỉ trong trình duyệt |
| Phạm vi truy cập | Thu thập toàn bộ phiên | Chỉ khi hoạt động |
| Người dùng có thể xác minh | Không | Có — kiểm tra mạng |
Cách hoạt động:
- Bạn dán văn bản có định danh cá nhân
- Phát hiện chạy cục bộ trong trình duyệt của bạn
- Tên và ID trở thành token — "Nguyễn Văn A" trở thành
[PERSON_1] - Văn bản đã làm sạch đến AI
- Phản hồi của AI được khôi phục cục bộ cho bạn
Trung tâm tuân thủ trình bày danh sách đầy đủ các thực thể và chi tiết kiểm toán doanh nghiệp.