كشف باحثون في الأمن السيبراني عن امتدادين جديدين على متجر Chrome Web Store صُمما خصيصاً لسرقة محادثات المستخدمين مع ChatGPT وDeepSeek، إضافة إلى بيانات التصفح، وإرسالها إلى خوادم تحت سيطرة المهاجمين. الامتداد الأول يحمل اسم:
- Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI (حوالي 600 ألف مستخدم) والامتداد الثاني:
- AI Sidebar with Deepseek, ChatGPT, Claude, and more (حوالي 300 ألف مستخدم).
وبذلك يصل عدد المستخدمين المتأثرين إلى أكثر من 900 ألف. هذه الامتدادات تستغل أسلوباً يُعرف باسم Prompt Poaching، أي سرقة المحادثات مع أدوات الذكاء الاصطناعي عبر إضافات المتصفح.
آلية عمل الامتدادات الخبيثة
وفقاً لشركة OX Security، تقوم هذه الامتدادات بجمع بيانات المحادثات وعناوين التبويبات المفتوحة في كروم كل 30 دقيقة، ثم إرسالها إلى خوادم خارجية مثل:
chatsaigpt[.]com
deepaichats[.]com
الامتدادات تطلب من المستخدمين الموافقة على جمع بيانات “مجهولة وغير قابلة للتعريف”، لكنها في الواقع تستخرج محتوى المحادثات بالكامل. لتحقيق ذلك، تبحث عن عناصر DOM داخل صفحات الويب، وتستخرج الرسائل النصية وتخزنها محلياً قبل إرسالها للخوادم. كما استخدم المهاجمون منصات تطوير مدعومة بالذكاء الاصطناعي مثل Lovable لاستضافة سياسات الخصوصية المزيفة وإخفاء أنشطتهم عبر مواقع مثل:
chataigpt[.]pro
chatgptsidebar[.]pro.
المخاطر المترتبة
تنصيب هذه الامتدادات قد يؤدي إلى تسريب معلومات حساسة تشمل:
- بيانات اعتماد المستخدمين وكلمات المرور.
- أسرار الشركات وبيانات العملاء.
- محتوى المحادثات مع أدوات الذكاء الاصطناعي.
- عناوين داخلية وروابط خاصة بالشركات.
هذه البيانات يمكن استغلالها في التجسس المؤسسي، أو سرقة الهوية، أو هجمات تصيّد موجهة، أو بيعها في منتديات سرية على الإنترنت.
امتدادات شرعية تنضم إلى الظاهرة
المفاجأة أن بعض الامتدادات الشرعية مثل Similarweb وStayfocusd التابعة لـ Sensor Tower، والتي تضم أكثر من مليون مستخدم، انخرطت أيضاً في جمع بيانات المحادثات. تحديثات Similarweb الأخيرة أوضحت صراحةً أن البيانات المدخلة في أدوات الذكاء الاصطناعي يتم جمعها لتحليل حركة المرور ومؤشرات التفاعل. كما تبين أنها تستخدم تقنيات DOM Scraping أو استغلال واجهات fetch() وXMLHttpRequest() لجمع المحادثات من أدوات مثل ChatGPT وClaude وGemini وPerplexity.
