Onderzoekers waarschuwen voor verschillende vpn-extensies die AI-gesprekken van miljoenen Chrome- en Edge-gebruikers onderscheppen en terugsturen naar de servers van de ontwikkelaars. De extensies beschikken over een hardcoded configuratie die ervoor zorgt dat gesprekken van gebruikers met tien populaire chatbots, zoals ChatGPT, Claude en Gemini, worden verzameld en teruggestuurd. Dat melden onderzoekers van securitybedrijf Koi Security.

De extensies in kwestie hebben bij elkaar acht miljoen gebruikers. Het gaat om Urban VPN Proxy, 1ClickVPN Proxy, Urban Browser Guard en Urban Ad Blocker die zowel voor Google Chrome als Microsoft Edge beschikbaar zijn. De extensies hebben onder andere de "Featured" badge van Google. Het techbedrijf kent deze badge toe aan extensies waarvan het heeft vastgesteld dat die aan technische best practices voldoen en een hoge standaard hanteren als het gaat om gebruikerservaring en ontwerp.

Volgens de onderzoekers beschikkende extensies over een script dat speciaal ontworpen is om gesprekken die gebruikers met chatbots voeren te onderscheppen. De extensie monitort de browser-tabs van gebruikers. Wanneer die de website van ChatGPT, Claude, Gemini of andere chatbot bezoeken wordt een "executor" script direct in de pagina geinjecteerd. Dit script verzamelt vervolgens de gesprekken die gebruikers met de chatbots voeren.

Het gaat hier niet om een optie en de enige manier om te voorkomen dat gesprekken worden doorgestuurd is het verwijderen van de extensie, aldus de onderzoekers. De dataverzameling staat daarnaast los van de vpn-functionaliteit die de extensies aanbieden. De data wordt altijd verzameld, ongeacht de vpn is verbonden of niet. De onderzoekers merken op dat de ontwikkelaar het verzamelen en verkopen van de AI-gesprekken wel in de privacy policy vermeldt. Dit staat echter niet in de Chrome Web Store aangegeven.