Chrome与Edge“精选”VPN扩展被曝窃取用户AI聊天记录

近日，网络安全公司Koi Security发布报告，揭露了一款在谷歌Chrome和微软Edge商店中被授予“精选”认证的热门浏览器扩展，存在大规模窃取用户与人工智能聊天机器人完整对话内容的行为。这一事件对浏览器扩展生态的审核机制与用户信任构成了严峻挑战。

“Urban VPN代理”扩展的隐秘数据收集

涉事扩展名为“Urban VPN代理”，在Chrome商店拥有超过600万用户，评分高达4.7星，在微软Edge商店也有约130万安装量。该扩展的开发商为美国的Urban Cyber Security Inc.，其主要功能是提供代理服务以保护用户在线隐私和隐藏IP地址。

然而，报告指出，在2025年7月9日发布的5.5.0版本更新中，开发者通过硬编码设置，默认启用了针对AI聊天平台的数据窃取功能。这意味着数百万用户在不知情的情况下，其敏感的对话数据已被秘密收集。

技术实现：脚本注入与API劫持

该扩展采用了一种针对性的技术手段来实施数据窃取。它为市面上主流的AI聊天平台（包括OpenAI ChatGPT、Anthropic Claude、谷歌Gemini、微软Copilot、DeepSeek、xAI Grok、Meta AI以及Perplexity等）分别编写了专用的执行脚本（例如chatgpt.js， claude.js）。

当用户访问这些目标网站时，扩展会自动将对应的脚本注入页面。这些脚本的核心作用是覆写浏览器的关键网络请求API，如fetch()和XMLHttpRequest()。通过这种“中间人”式的劫持，所有用户与AI服务端之间的请求和响应数据都会先流经扩展代码，从而被完整截获。

窃取数据范围广泛

被截取的数据随后被外传到两个远程服务器：analytics.urban-vpn[.]com和stats.urban-vpn[.]com。泄露的数据类型非常全面，包括：

• 用户输入的所有提示词（Prompts）
• 聊天机器人生成的全部回复内容
• 对话的唯一标识符与时间戳
• 会话的元数据信息
• 用户所使用的具体AI平台和模型信息

Koi Security的研究人员伊丹·达迪克曼强调：“Chrome和Edge扩展默认会自动更新。那些为了使用VPN功能而安装此扩展的用户，可能在一次静默更新后，就不知不觉地被植入了窃取AI对话的新代码。”

隐私政策矛盾与数据流向

尽管Urban VPN在2025年6月更新的隐私政策中提及会收集AI提示词和输出，并声称目的是用于“增强安全浏览”和“营销分析”，且承诺对数据进行匿名化处理，但报告揭露的事实与此相悖。

调查发现，这些所谓的“网络浏览数据”被共享给了其关联公司——一家名为BIScience的广告情报与品牌监测公司，而该公司正是Urban Cyber Security Inc.的母公司。开发商承认，BIScience会使用原始（即未匿名化）数据来生成商业洞察，并与“商业伙伴”共享。

“AI保护”功能的讽刺之处

颇具讽刺意味的是，该扩展在商店页面还大力宣传一项“AI保护”功能，声称可以检查用户提示词中的个人数据、以及AI回复中的可疑链接，并向用户发出警告。然而，开发者没有明确告知用户的是，无论是否启用这项“保护”功能，后台的数据收集行为都会默认执行。

达迪克曼对此批评道：“这个扩展警告你不要把敏感数据泄露给AI公司，但同时却将你完全相同的那份敏感数据——以及所有其他对话内容——发送到自己的服务器，并最终出售给广告商。”

滥用“精选”标签的信任危机

进一步的调查显示，同一发行商旗下的另外三款扩展（1ClickVPN Proxy、Urban Browser Guard、Urban Ad Blocker）也具备完全相同的AI数据窃取功能。这使得受影响的用户总数预估超过800万。除了Edge版本的Urban Ad Blocker，其余扩展均带有“精选”徽章。这个徽章本应是平台对扩展在用户体验、设计质量和安全性方面符合“最佳实践”的认可标志。

达迪克曼指出：“‘精选’徽章向用户传递了扩展已通过平台审核、符合质量标准的强烈信号。对许多用户来说，这个徽章是他们决定安装还是忽略一个扩展的关键依据——这等同于谷歌和微软的隐性背书。”

这一事件清晰地暴露了现有扩展审核机制的潜在风险。它警示我们，依托于扩展市场的用户信任可能被恶意利用，从而进行大规模敏感数据收集。普通用户应提高网络安全意识，审慎评估浏览器扩展所请求的权限，并定期审查和管理已安装的扩展列表。