7月29日、Cyber Security Newsが「Chrome Extension Monitors AI Conversations Across ChatGPT, Claude, Gemini, and Other Platforms」と題した記事を公開した。約10万件インストール済みのChrome拡張機能が、プライバシーポリシーに「個人データは一切収集しない」と明記しながら、9つのAIプラットフォームの全プロンプト・全応答を密かに外部サーバーへ送信していた——業務でAIを活用している企業にとっては、社内機密がそのまま流出しうる深刻な問題だ。
企業環境への影響が深刻な理由
この拡張機能はMicrosoft 365のテナントホスト型Copilotを明示的な標的としており、SignalR（Microsoftが開発するリアルタイム双方向通信プロトコル）のフレームを解析して、プロンプトとBot応答を抽出する。社内の機密情報をAIに入力している環境では、その内容がそのまま外部サーバーに流出するリスクがある。コンシューマー向けのプライバシー問題にとどまらず、企業データの流出脅威として扱うべきインシデントだ。
プライバシーポリシーに「データ収集なし」と書いてある拡張機能が、全プロンプトを抜いていた
問題の拡張機能は「Prompt Optimizer – SecondBrain」（拡張機能ID: aajjgdpofhhcjmjoombjdfepplndhgcp、バージョン2.3.1）。Chrome Web Storeの公式ページおよびプライバシーポリシーには「個人データは一切収集しない」と明記されているにもかかわらず、実際の動作は真逆だった。
収集対象のプラットフォームはChatGPT、Claude、Gemini、Grok、Meta AI、DeepSeek、Perplexity、Microsoft Copilot（コンシューマー版・エンタープライズ版の両方）の9サービス。今回の発覚は、ブラウザ拡張機能に特化したマルウェア解析プラットフォーム「MalExt Sentry」を運営するセキュリティ研究者のJean-Marieが、Chrome Web Store上のレポートとして技術解析結果を公開したことで明らかになった。MalExt Sentryはブラウザ拡張機能の静的・動的解析を専門とする独立系リサーチプロジェクトで、今回のような拡張機能を対象とした調査で知られている。
何がどう「悪質」なのか：技術的な手口
インストール直後に同意を強制上書き
拡張機能はインストール後、ユーザーの操作を一切必要としない。バックグラウンドワーカーが起動した瞬間に、内部ストレージの値を強制的に「同意済み（agreed）」「収集オン（on）」「保護オフ（off）」に書き換える。ユーザーが設定画面で何を選択しようと無関係だ。
ネットワーク関数を丸ごと乗っ取る
実際の収集エンジンは chatgpt_context_fetch_diagnostics.js というファイルに隠蔽されている。名前は「診断用」を装っているが、内部では以下のブラウザ標準APIをすべて差し替える：
window.fetchXMLHttpRequest.open/XMLHttpRequest.sendWebSocketコンストラクタ
これにより、AIサービスへの通信が届く前にすべてのトラフィックを傍受できる。ネットワーク経由で取れないデータは、3つの MutationObserver（DOMの変化をリアルタイムで監視するブラウザ標準API。テキストの追記・更新などを検知できる）でレンダリング済みの応答テキストを直接スクレイピングし、さらにMeta AIではメッセージ送信前の入力をキーロガーで捕捉する。
UIのトグルは「見せかけ」
ユーザーに見える唯一のコントロールは、画面上に浮かぶUIボタンの表示・非表示を切り替えるだけのものだ。収集自体を止める機能はない。コードベース内に古い同意画面の残骸はあるが、動作していない。
| 項目 | ポリシー上の主張 | 実際の動作 |
|---|---|---|
| データ収集 | 収集なし | 同意を強制上書きして全プロンプトを収集 |
| ローカル保存 | ブラウザ内に留まる | 暗号化してリモートサーバーへ送信 |
| ユーザー制御 | トグルで管理可能 | トグルはUIボタンの表示切替のみ |
| ネットワーク | 診断ログと説明 | fetch/XHR/WebSocketを差し替えて傍受 |
暗号化されているが「鍵はサーバー側が持つ」
収集したデータはバッチ処理され、AES-GCM（現代的な共通鍵暗号方式のひとつ。通信の盗聴は防げるが、鍵の管理者は内容を復号できる）で暗号化されてから ingest.secondbrain.is/context へ送信される。ただし、暗号化鍵はローカルで生成されるのではなくSecondBrainのサーバーから都度発行される。つまり、提供者側はすべての会話バッチを復号できる状態にある。研究者はキャプチャしたトラフィックを実際に復号することでこれを確認している。
セキュリティチームがとるべき対応
- 拡張機能ブロックリストの適用： Chrome/Edgeの
ExtensionInstallBlocklistポリシーで拡張機能IDaajjgdpofhhcjmjoombjdfepplndhgcpをブロックする - ネットワーク宛先の監査：
ingest.secondbrain.isおよびoptimize.secondbrain.isへの外部通信をログで確認する（エンドポイントはサーバー側で変更可能な点に注意） - Microsoft 365 Copilotリスクの評価： コンシューマー向けのプライバシー問題ではなく、企業データの流出脅威として扱う
なお、この拡張機能を含む類似リスクへの対処は、Chromeブラウザ自体の脆弱性対策と並行して進める必要がある。
詳細はChrome Extension Monitors AI Conversations Across ChatGPT, Claude, Gemini, and Other Platformsを参照していただきたい。
