Złośliwe rozszerzenia AI kradną historię czatów LLM

Wprowadzenie: dlaczego to ważne

Rozszerzenia przeglądarki z asystentami AI stają się powszechnymi dodatkami zwiększającymi „produktywność” pracowników wiedzy, zwłaszcza w celu szybkiego dostępu do narzędzi takich jak ChatGPT i DeepSeek. Dochodzenie Microsoft Defender pokazuje, jak ta wygoda może przekształcić się w kanał utraty danych w przedsiębiorstwie: rozszerzenie typu look-alike zainstalowane z zaufanego marketplace może stale zbierać i wyprowadzać na zewnątrz poufne prompty, odpowiedzi i wewnętrzne adresy URL, nie zachowując się jak tradycyjne malware.

Co nowego / kluczowe ustalenia

Microsoft Defender zbadał złośliwe rozszerzenia Chromium, które:

• Podszywają się pod legalne rozszerzenia asystentów AI, używając znajomego brandingu i monitów o uprawnienia (Defender wskazuje na imitację znanych narzędzi, takich jak AITOPIA).
• Zbierają zawartość czatów LLM i telemetrię przeglądania, w tym:
  • Pełne odwiedzane URLs (w tym witryny wewnętrzne)
  • Fragmenty czatów (prompty i odpowiedzi) z platform takich jak ChatGPT i DeepSeek
  • Identyfikatory modeli, kontekst nawigacji oraz trwały UUID
• Utrzymują się jak zwykłe rozszerzenia (automatyczne ponowne ładowanie przy uruchomieniu przeglądarki, przechowywanie telemetrii w lokalnym magazynie rozszerzenia).
• Okresowo wyprowadzają dane przez HTTPS POST, co może przypominać zwykły ruch webowy.

Raporty Defender wskazują, że rozszerzenia osiągnęły ~900 000 instalacji, a telemetria Defender potwierdziła aktywność w ponad 20 000 dzierżawach przedsiębiorstw.

Jak działa atak (na wysokim poziomie)

• Dostarczenie: Opublikowane w Chrome Web Store z opisami związanymi z AI. Ponieważ Microsoft Edge obsługuje rozszerzenia z Chrome Web Store, ta sama lista umożliwia zasięg między przeglądarkami.
• Wykorzystanie zaufania i uprawnień: Szerokie uprawnienia rozszerzeń Chromium pozwalały obserwować zawartość stron i aktywność przeglądania. Zastosowano wprowadzający w błąd mechanizm zgody, a aktualizacje mogły domyślnie ponownie włączać telemetrię nawet po rezygnacji użytkowników.
• Command and control: Okresowe wysyłanie danych do domen kontrolowanych przez atakujących, takich jak deepaichats[.]com i chatsaigpt[.]com, z czyszczeniem lokalnych buforów po transmisji w celu ograniczenia artefaktów.

Wpływ na administratorów IT i użytkowników końcowych

• Ryzyko wycieku danych: Prompty często zawierają zastrzeżony kod, procesy wewnętrzne, dyskusje strategiczne, poświadczenia kopiowane do czatów i inne poufne treści. Wyprowadzenie pełnych adresów URL może ujawnić strukturę aplikacji wewnętrznych i wrażliwe parametry query string.
• Narażenie na problemy zgodności i prywatności: Przechwycona historia czatów może zawierać dane regulowane lub dane osobowe, komplikując obowiązki związane z retencją, eDiscovery i rezydencją danych.
• Ryzyko związane z rozszerzeniem staje się „zawsze aktywne”: W przeciwieństwie do jednorazowego incydentu phishingowego złośliwe rozszerzenie może zapewniać ciągłą widoczność aktywności użytkownika między sesjami.

Zalecane działania / kolejne kroki

1. Wyszukuj i blokuj znane endpointy exfiltration, monitorując wychodzący ruch HTTPS POST i stosując kontrolę sieciową dla:
   • *.chatsaigpt.com
   • *.deepaichats.com
   • *.chataigpt.pro
   • *.chatgptsidebar.pro
2. Inwentaryzuj i audytuj rozszerzenia przeglądarek na zarządzanych punktach końcowych, koncentrując się na narzędziach AI/sidebar z szerokimi uprawnieniami do witryn.
3. Zaostrz zarządzanie rozszerzeniami:
   • Używaj allowlist dla zatwierdzonych rozszerzeń
   • Ograniczaj źródła instalacji tam, gdzie to możliwe
   • Przeglądaj zachowania aktualizacji i dryf uprawnień
4. Korzystaj z Microsoft Defender Vulnerability Management, aby uruchamiać Browser extensions assessment, identyfikować ryzykowne rozszerzenia i priorytetyzować działania naprawcze.
5. Edukuj użytkowników: traktuj czaty AI jak wrażliwą komunikację — unikaj wklejania tajemnic, tokenów lub zastrzeżonych treści, chyba że narzędzie i ścieżka dostępu są wyraźnie zatwierdzone.