Czy rozszerzenia przeglądarki AI są bezpieczne?

czym naprawdę jest rozszerzenie przeglądarki AI

Rozszerzenie przeglądarki to mały program działający wewnątrz przeglądarki, który może wchodzić w interakcję ze stronami, jakie odwiedzasz. Rozszerzenie przeglądarki AI dokłada na wierzch model: panel boczny streszczający stronę, asystenta piszącego odpowiedzi w poczcie webowej, narzędzie tłumaczące lub przepisujące zaznaczony tekst, albo pełniejsze doświadczenie „przeglądarki AI” nałożone na zwykłe przeglądanie.

Żeby to robić, rozszerzenie prosi o uprawnienia w momencie instalacji, a przeglądarka pokazuje użytkownikowi okno zgody. Uprawnienia, jakie posiada rozszerzenie, definiują wszystko, co może zrobić, co czyni je właściwym punktem startu do oceny bezpieczeństwa: wpis w sklepie mówi, do czego rozszerzenie służy, a uprawnienia mówią, do czego ma dostęp.

Dwie rzeczy sprawiają, że tę kategorię trudniej zarządzać niż zwykłe oprogramowanie. Rozszerzenia instalują się w kilka sekund z publicznego sklepu, bez danych administratora i bez zgłoszenia do IT, więc gromadzą się bez centralnego rejestru. A ponieważ większość aktualizuje się automatycznie, kod działający dzisiaj niekoniecznie jest kodem, jaki przejrzałeś w momencie instalacji.

o jakie uprawnienia proszą i co każde z nich odsłania

Model rozszerzeń Chrome, który dzielą Edge i inne przeglądarki oparte na Chromium, deklaruje dostęp przez kilka pól manifestu. Dla oceny bezpieczeństwa liczą się cztery.

Uprawnienia hosta i <all_urls>. Uprawnienia hosta to wzorce dopasowania, które decydują, na jakich witrynach rozszerzenie może działać. Wąskie rozszerzenie prosi o pojedynczy host. Szerokie prosi o <all_urls>, co Chrome pokazuje przy instalacji jako „Odczytuj i zmieniaj wszystkie swoje dane na wszystkich witrynach”. To nadanie pozwala rozszerzeniu odczytywać i modyfikować treść dowolnej strony, jaką otwiera użytkownik: wewnętrzne dokumenty w aplikacji webowej, dane klientów w CRM, dane finansowe w arkuszu w przeglądarce, wszystko, co renderuje się w przeglądarce. Uprawnienia hosta odblokowują też bardziej wrażliwe API, więc to one najbardziej rozszerzają zasięg rozszerzenia.

Uprawnienie tabs. Daje dostęp do uprzywilejowanych właściwości otwartych kart, takich jak ich URL i tytuł, w całej przeglądarce. Chrome opisuje ten efekt jako „Odczytuj historię przeglądania”. Dla streszczacza AI to część funkcji, a jednocześnie szczegółowy zapis tego, dokąd ktoś chodzi.

Cookies i scripting. API cookies, zabezpieczone uprawnieniami hosta, pozwala rozszerzeniu odczytywać cookies dla witryn, do których ma dostęp. Uprawnienie scripting pozwala wstrzykiwać kod na strony. Razem z szerokim dostępem hosta przenoszą one rozszerzenie z odczytywania treści do obsługi materiału uwierzytelniającego i uruchamiania dowolnej logiki w kontekście zalogowanej witryny. Większość rozszerzeń AI nie potrzebuje tej kombinacji, a kiedy prosty asystent AI o nią prosi, warto się nad tym zatrzymać.

Content scripts. To skrypty, które rozszerzenie wstrzykuje na pasujące strony, żeby odczytać albo zmienić to, co na nich jest. Tak panel boczny AI odczytuje artykuł, na którym jesteś, a także, w niewłaściwych rękach, tak rozszerzenie odczytuje formularz, który wypełniasz.

Wzorzec, który warto zapamiętać: niebezpieczne możliwości skupiają się wokół szerokiego dostępu hosta połączonego z cookies i scriptingiem. Nadanie dla jednej witryny jest ograniczone. „Wszystkie witryny” plus cookies plus scripting to niemal pełny zasięg nad wszystkim, co użytkownik robi w przeglądarce.

ryzyko kradzieży tokenów i eksfiltracji

Dwa ryzyka zasługują na szczególną uwagę, bo omijają zabezpieczenia, co do których ludzie zakładają, że je mają.

Kradzież tokenu sesji i cookies. Kiedy logujesz się do aplikacji webowej, dowodem, że jesteś zalogowany, jest zwykle token sesji trzymany w cookie. Rozszerzenie, które może odczytywać cookies na danej witrynie, może odczytać ten token. Mając token, atakujący może wznowić uwierzytelnioną sesję z innego miejsca bez hasła, a w wielu przypadkach bez ponownego wywołania monitu MFA, bo użytkownik już przeszedł MFA w momencie ustanawiania sesji. Dokładnie to zrobiło skompromitowane rozszerzenie Cyberhaven w grudniu 2024 roku: złośliwa wersja zbierała i wyprowadzała tokeny dostępu, cookies sesji i informacje o koncie, celując w uwierzytelnione sesje na witrynach, do których miała dostęp. Kradzież tokenu sprawia, że rozszerzenie przeglądarki jest narzędziem dostępu do danych uwierzytelniających, a nie tylko kwestią prywatności.

Ciche wyprowadzanie danych przez sam prompt AI. Nowsze odkrycie mówi, że rozszerzenie AI nie potrzebuje szerokich uprawnień, żeby wyciekać dane. W lipcu 2025 roku LayerX ujawniło technikę nazwaną Man-in-the-Prompt. Ponieważ pole wejściowe promptu narzędzia AI jest częścią Document Object Model strony, dowolne rozszerzenie przeglądarki z dostępem do skryptów na stronie może odczytywać i zapisywać to pole bezpośrednio. LayerX zademonstrowało proof of concept, w którym rozszerzenie bez żadnych specjalnych uprawnień otwierało narzędzie AI w tle, wstrzykiwało prompt polecający ujawnić wrażliwe dane, wyprowadzało odpowiedź i czyściło historię czatu, żeby zatrzeć ślady. Technikę przetestowano na ChatGPT, Gemini, Copilot, Claude i DeepSeek. W przypadku Gemini wstrzyknięte prompty docierały do danych firmowych przez integrację narzędzia z otaczającym pakietem produktywności, w tym pocztą, plikami i treścią spotkań.

To ma znaczenie dla governance, bo typowy odruch, „przejrzyj uprawnienia i dopuszczaj tylko rozszerzenia o niskich uprawnieniach”, jest konieczny, ale niewystarczający. Rozszerzenie o niskich uprawnieniach wciąż może nadużyć narzędzia AI już otwartego w tej samej przeglądarce, co oznacza, że inwentarz rozszerzeń i inwentarz narzędzi AI trzeba zarządzać razem, a nie jako osobne problemy.

problem łańcucha dostaw

Nawet dobrze zbudowane rozszerzenie od renomowanego dostawcy niesie ryzyko, które nie ma nic wspólnego z jego obecnym kodem: kanał, przez który jest dostarczane.

Skompromitowane aktualizacje. Rozszerzenia aktualizują się automatycznie, więc atakujący, który przejmie kontrolę nad kontem publikującym dewelopera, może wypchnąć złośliwą wersję, która trafia na każdą zainstalowaną kopię bez żadnej akcji użytkownika. Przypadek Cyberhaven to wyraźny przykład. Pod koniec grudnia 2024 roku pracownik dostał e-mail phishingowy, który wyglądał, jakby pochodził z Chrome Web Store, ostrzegający, że rozszerzenie zostanie usunięte. Link prowadził przez prawdziwy przepływ autoryzacji Google dla złośliwej aplikacji OAuth o nazwie „Privacy Policy Extension”, a jej zatwierdzenie dało atakującemu uprawnienie do publikowania na koncie dewelopera. Cyberhaven zgłosiło, że pracownik miał włączone MFA i Google Advanced Protection, nie dostał monitu MFA, a jego dane logowania Google nigdy nie zostały skompromitowane: cały atak polegał na zgodzie OAuth. Złośliwa wersja była dostępna w sklepie przez ponad 24 godziny w dniach 25 i 26 grudnia i dotarła do użytkowników przez autoaktualizację, zanim została wycofana i zastąpiona czystą wersją. Doniesienia powiązały to z szerszą kampanią, w której skompromitowano między innymi rozszerzenia Internxt VPN, VPNCity, Uvoice i ParrotTalks, a późniejsza analiza określiła szerszą falę na ponad 30 rozszerzeń dotykających rzędu 2,6 miliona użytkowników.

Transfery własności. Cichszą wersją tego samego problemu jest niema zmiana właściciela. Małe rozszerzenie z realną bazą użytkowników to aktywo, a deweloperzy dostają propozycje sprzedaży. Kiedy kontrola przechodzi do nowego właściciela, czy to przez sprzedaż, czy przez skompromitowane konto, rozszerzenie zachowuje swoją bazę instalacji i swoje uprawnienia, a kolejna rutynowa aktualizacja może zmienić działanie kodu bez nowego okna zgody. Badacze bezpieczeństwa przez 2025 i w 2026 roku dokumentowali wcześniej niegroźne rozszerzenia, które stawały się złośliwe po zmianie rąk, czasem po okresie uśpienia zaprojektowanym tak, żeby uniknąć kontroli. Praktyczna lekcja jest taka, że „sprawdziliśmy to rozszerzenie w zeszłym roku” opisuje rozszerzenie takim, jakim było, a nie takim, jakie jest.

Porzucenie. Duża część rozszerzeń w publicznych sklepach nie jest już utrzymywana. Nieutrzymywany kod nie dostaje poprawek bezpieczeństwa, a porzucone, ale wciąż popularne rozszerzenie to dokładnie ten rodzaj aktywa, jakiego atakujący szuka, żeby je przejąć albo skompromitować. Wiek rozszerzenia i data ostatniej aktualizacji to część jego profilu ryzyka, a nie ciekawostka.

Wspólny mianownik jest taki, że wiarygodność rozszerzenia to nie stała cecha, którą ustala się raz. Zależy od tego, czy konto dewelopera zostaje nieskompromitowane, czy własność nie zmienia rąk i czy kod jest wciąż utrzymywany, a nic z tego nie jest widoczne dla użytkownika po instalacji.

jak rozpoznać ryzykowne rozszerzenie

Ze wpisu w sklepie nie dostaniesz pewności, ale z garstki sygnałów możesz zbudować ocenę, którą da się obronić.

Czytaj uprawnienia w zestawieniu z funkcją. Zacznij tutaj, bo to najbardziej wiarygodny sygnał. Zapytaj, co rozszerzenie robi i jakiego dostępu to naprawdę wymaga. Narzędzie, które przepisuje zaznaczony tekst, nie musi odczytywać cookies na każdej witrynie. Kiedy uprawnienia są dużo szersze niż zadeklarowana funkcja, potraktuj tę rozbieżność jako ustalenie. Nadania, które zasługują na największą uwagę, to szeroki dostęp hosta („wszystkie witryny”), cookies, scripting i dostęp do historii przeglądania.

Sprawdź, kto publikuje rozszerzenie i jak długo istnieje. Nazwana firma z polityką prywatności, kanałem wsparcia i historią to zupełnie inna sytuacja niż anonimowy wydawca i niedawno założony wpis. Spójrz na datę ostatniej aktualizacji i bazę instalacji. Bardzo mała liczba użytkowników przy narzędziu proszącym o bardzo szeroki dostęp, albo wpis, który niedawno zmienił właściciela, oba podnoszą poprzeczkę.

Czytaj deklarację prywatności i sposób obchodzenia się z danymi. Chrome Web Store wymaga deklaracji praktyk prywatności, a rozszerzenie powinno mieć politykę prywatności. To, co deklaruje, że zbiera, dokąd te dane trafiają i na czyich warunkach są przetwarzane, to fakty decydujące o tym, czy dane firmowe płynące przez rozszerzenie są akceptowalne. Dla rozszerzenia AI zdanie „treść oglądanych stron jest wysyłana na nasze serwery” to linijka, którą warto przeczytać uważnie.

Wybieraj najwęższe narzędzie, które robi robotę. Między dwoma rozszerzeniami rozwiązującymi ten sam problem, to, które prosi o mniej, jest bezpieczniejszym domyślnym wyborem, a wersja enterprise albo zarządzana wspierająca centralną politykę zwykle pasuje lepiej niż wersja konsumencka. Zmniejszenie żądanego zakresu zmniejsza blast radius, jeśli rozszerzenie kiedykolwiek zostanie skompromitowane.

Traktuj szeroki dostęp plus funkcję AI jako narożnik wysokiego ryzyka. Rozszerzenie AI, które zarówno przetwarza treść strony, jak i ma szeroki dostęp hosta, cookies i scripting, łączy dwie powierzchnie ryzyka opisane w tym przewodniku: może odczytywać to, co widzi użytkownik, i działa w tej samej przeglądarce co uwierzytelnione sesje i inne narzędzia AI. To właśnie tam należy skierować wysiłek przeglądu.

jak nimi zarządzać

Indywidualna ocena się nie skaluje i to nie tam żyją trwałe kontrole. Governance tej kategorii to dyscyplina zarządzania przeglądarką, a narzędzia do tego już istnieją w głównych przeglądarkach enterprise.

Zbuduj inwentarz, zanim napiszesz politykę. Nie da się zarządzać tym, czego się nie widzi. Zarządzane Chrome i Edge udostępniają inwentarz zainstalowanych rozszerzeń per użytkownik przez konsole administracyjne i przez zarządzanie punktami końcowymi, takie jak Intune, Jamf czy zarządzanie urządzeniami Google Workspace. Pobierz ten raport, przefiltruj pod kątem narzędzi AI i przeczytaj uprawnienia każdego z nich. Ciągi, które powinny wciągnąć rozszerzenie do przeglądu, to te szerokie: „Odczytuj i zmieniaj wszystkie swoje dane na wszystkich witrynach”, „Odczytuj historię przeglądania” i dostęp do cookies. Inwentarz to też jedyny sposób, żeby znaleźć rozszerzenia zainstalowane, zanim istniała jakakolwiek polityka.

Używaj allow-listingu, nie tylko blocklistingu. Chrome Enterprise i Edge wspierają oba. Blocklist wymienia rozszerzenia, których użytkownicy nie mogą instalować, a wartość blocklisty * domyślnie blokuje wszystko, żeby dopuszczone były tylko rozszerzenia z allow-listy. Ta postawa default-deny, allow-lista wsparta blokadą wildcard, to konfiguracja, która faktycznie się utrzymuje, bo zatrzymuje nowe i nieznane rozszerzenia, zamiast gonić złe jedno po drugim. Już zainstalowane rozszerzenia, które podpadają pod blokadę, zostają wyłączone. Polityki wymuszonej instalacji mogą centralnie wypychać zatwierdzone rozszerzenia, a ograniczenia hostów, takie jak runtime-blocked hosts, mogą powstrzymać rozszerzenia przed odczytywaniem lub zmienianiem danych na twoich najbardziej wrażliwych witrynach wewnętrznych, nawet gdy są poza tym dopuszczone.

Trzymaj inwentarz AI i inwentarz rozszerzeń razem. Ponieważ ryzyko rozszerzenia AI zależy od tego, jakie inne narzędzia AI i sesje żyją w tej samej przeglądarce, kontrole działają najlepiej, kiedy polityka rozszerzeń i szersza polityka użycia AI są zarządzane jako jedno. Zatwierdzony panel boczny AI plus nieprzejrzane narzędzie AI otwarte na innej karcie to właśnie scenariusz Man-in-the-Prompt, i tylko połączony widok go wyłapie.

Przeglądaj ponownie w regularnym cyklu, bo obraz zmienia się pod tobą. Skompromitowane aktualizacje, transfery własności i porzucenie, wszystkie zmieniają rozszerzenie po tym, jak je zatwierdziłeś, i żadne z nich nie pyta ponownie użytkownika o zgodę. Ponowne pobieranie inwentarza i ponowne sprawdzanie rozszerzeń o wysokich uprawnieniach w regularnym cyklu to jest to, co zamienia jednorazowe zatwierdzenie w rzeczywistą kontrolę. Wpleć sprawdzanie rozszerzeń w ten sam rytm, jakiego używasz do discovery narzędzi AI i przeglądu dostępów.

Daj ludziom usankcjonowaną ścieżkę. Allow-lista bez możliwości zgłoszenia dodania zamienia się w ścianę, którą ludzie obchodzą, często używając tego samego narzędzia AI przez prywatne urządzenie albo konto, gdzie nie masz żadnej widoczności. Szybka, jasna ścieżka wniosków o nowe rozszerzenia utrzymuje adopcję wewnątrz zarządzanego środowiska, czyli jedynego miejsca, do którego sięgają kontrole.

Źródła

• Chrome for Developers, Declare permissions · developer.chrome.com/docs/extensions/develop/concepts/declare-permissions (uprawnienia hosta, tabs, cookies, scripting, content scripts i ostrzeżenia o uprawnieniach przy instalacji).
• Chrome for Developers, Permissions list · developer.chrome.com/docs/extensions/reference/permissions-list (ostrzeżenie tabs „Odczytuj historię przeglądania” i ostrzeżenie <all_urls> „Odczytuj i zmieniaj wszystkie swoje dane na wszystkich witrynach”).
• Chrome Enterprise, ExtensionInstallAllowlist and ExtensionInstallBlocklist policies · chromeenterprise.google/policies/ (allow-lista rozszerzeń, blocklist z * blokującym wszystko, wymuszone instalacje i ograniczenia hostów w czasie działania dla zarządzanych przeglądarek).
• SecurityWeek, „Several Chrome Extensions Compromised in Supply Chain Attack” (30 grudnia 2024) · securityweek.com/several-chrome-extensions-compromised-in-supply-chain-attack/ (phishing Cyberhaven przez aplikację OAuth „Privacy Policy Extension”, włączone MFA i Advanced Protection bez monitu MFA, złośliwa wersja dostępna ponad 24 godziny w dniach 25-26 grudnia, eksfiltracja tokenów i cookies, inne skompromitowane rozszerzenia w tym Internxt VPN, VPNCity, Uvoice, ParrotTalks).
• SecurityWeek, „Browser Extensions Pose Serious Threat to Gen-AI Tools Handling Sensitive Data” (31 lipca 2025) · securityweek.com/browser-extensions-pose-serious-threat-to-gen-ai-tools-handling-sensitive-data/ (LayerX Man-in-the-Prompt: dowolne rozszerzenie z dostępem do skryptów DOM może odczytywać i zapisywać prompt AI; PoC bez żadnych uprawnień; przetestowane na ChatGPT, Gemini, Copilot, Claude, DeepSeek; 99% przedsiębiorstw używa przynajmniej jednego rozszerzenia, a 50% ma ich więcej niż dziesięć).
• The Hacker News, „Chrome Extension Turns Malicious After Ownership Transfer” (marzec 2026) · thehackernews.com/2026/03/chrome-extension-turns-malicious-after.html (niema zmiana właściciela, permission creep przez autoaktualizację i wcześniej niegroźne rozszerzenia stające się złośliwe po zmianie rąk).
• Spin.ai, „Why Browser Extension Ownership Transfers Are Enabling Attacks” · spin.ai/blog/the-ownership-transfer-blind-spot/ (martwy punkt transferu własności, dostarczanie przez autoaktualizację i porzucenie jako ryzyko łańcucha dostaw).