Chrome-аддоны AVG, Microsoft передают данные по HTTP, хранят ключи в коде

Chrome-аддоны AVG, Microsoft передают данные по HTTP, хранят ключи в коде

Chrome-аддоны AVG, Microsoft передают данные по HTTP, хранят ключи в коде

Некоторые из самых загружаемых расширений для Google Chrome оказались настоящими «дырками» в вашей приватности. Исследователи из Symantec обнаружили, что десятки расширений передают данные через незащищённый HTTP и даже вшивают ключи доступа к API прямо в код.

Во-первых, часть расширений отправляют конфиденциальную информацию в открытом виде — то есть вообще без шифрования. Вот что может утечь:

  • посещаемые домены,
  • ID устройства,
  • операционная система,
  • телеметрия использования,
  • даже факт удаления расширения.

А теперь представьте, что вы сидите в кафе на публичном Wi-Fi. Кто угодно в той же сети может перехватить этот трафик — а в некоторых случаях и подменить его. Это классическая атака посредника (AitM).

Вот некоторые примеры из списка:

  • SEMRush Rank и PI Rank — отправляют данные на rank.trellian[.]com через обычный HTTP.
  • Browsec VPN (!) — передаёт запрос на browsec-uninstall... при удалении расширения.
  • MSN New Tab и MSN Homepage — сливают уникальный ID устройства на g.ceipmsn[.]com.
  • DualSafe Password Manager — отправляет данные о версии, языке браузера и типе использования на stats.itopupdate[.]com тоже по HTTP.

«Даже если пароли напрямую не передаются, тот факт, что менеджер паролей использует незащищённый трафик — уже вызывает серьёзные вопросы», — подчёркивает исследователь из Symantec Юаньцзин Го.

Symantec также нашла расширения, где разработчики просто оставили в коде:

  • ключи Google Analytics 4 (GA4),
  • ключи Microsoft Azure (для распознавания речи),
  • ключи AWS для загрузки в S3,
  • токены телеметрии и API ключи сторонних сервисов.

Среди таких расширений:

  • AVG Online Security, SellerSprite, Equatio, Microsoft Editor, Watch2Gether, Trust Wallet, TravelArrow и др.
  • Antidote Connector, использующее библиотеку InboxSDK с уже встроенными credentials. Проблема может касаться ещё более 90 расширений — их названия пока не раскрываются.

Symantec рекомендует удалить такие расширения, пока разработчики не исправят проблемы. Это не паранойя — любой, у кого есть доступ к сети, может перехватить данные. Это уже не гипотетическая угроза.

Экс-сотрудник Google DeepMind считает, что ИИ может уничтожить человечество

Бывший инженер Google DeepMind Билал Чугтай заявил, что искусственный интеллект способен привести к гибели всего человечества, а времени для предотвращения такого сценария может оставаться всё меньше. Чугтай занимался в DeepMind безопасностью продвинутого ИИ, а в июле 2026 года покинул компанию.

В публикации в X он написал, что безопасное развитие технологии ещё возможно, но для этого лабораториям придётся координировать действия и прекратить безумную гонку за всё более мощными системами.

По его мнению, темпы разработки необходимо привести к уровню, с которым способно справиться общество. Возникающие угрозы должны получать оценку и защитные меры раньше, чем успеют превратиться в экстремальный ущерб.

Чугтай стал не первым специалистом, покинувшим крупную ИИ-компанию с подобным предупреждением. Ранее исследователь Anthropic Джейкоб Коксон заявил, что создатели передовых моделей всерьёз допускают гибель человечества уже к концу десятилетия.

Сотрудник Anthropic Эван Хубингер оценил вероятность такого исхода в ближайшие десять лет более чем в 10%. Глава Anthropic Дарио Амодей тем временем призвал снизить темп развития передовых моделей, когда меры безопасности не успевают за возможностями.

Инициативу поддержали Илон Маск и глава OpenAI Сэм Альтман. Речь идёт не о полной остановке разработок, а о внешних проверках, единых стандартах и контролируемой скорости движения.

Президент США Дональд Трамп занял противоположную позицию, назвав призывы к регулированию ИИ мистификацией. В итоге отрасль получила редкий консенсус: крупнейшие разработчики впервые заговорили о торможении, а политика уже требует не мешать давить на газ. Reuters фиксирует спор, в котором цена ошибки слегка выше квартальной выручки.

RSS: Новости на портале Anti-Malware.ru