Uma empresa de segurança com sede em Tel Aviv, Koi, investigado Urban VPN Proxy, uma extensão do Google Chrome com seis milhões de usuários e um selo de destaque do Google. A investigação revelou scripts executores que coletam conversas de usuários de plataformas de IA para venda a corretores de dados. O pesquisador Koi Idan Dardikman detalhou as operações da extensão além das funções VPN padrão. O Urban VPN Proxy, publicado pela Urban Cyber Security Inc., inclui scripts executores que interceptam e capturam conversas das principais plataformas de IA. Essas plataformas consistem em ChatGPT da OpenAI, Claude da Anthropic, Gemini do Google, DeepSeek e Grok da xAI. Os scripts são ativados na instalação, visando as interações que os usuários têm com esses serviços diretamente no ambiente do navegador. Os dados coletados abrangem uma ampla gama de entradas de usuários para chatbots de IA. Dardikman especificou que inclui questões médicas, detalhes financeiros, código proprietário, dilemas pessoais e todas as outras questões colocadas aos sistemas de IA. Essas informações são vendidas para fins de análise de marketing, transformando trocas privadas em ativos comerciais processados por entidades afiliadas. A coleta de dados persiste independentemente do status ativo da VPN. Os scripts do executor são executados continuamente desde o momento da instalação. Eles operam por padrão sem qualquer intervenção do usuário necessária para iniciá-los. Não existe nenhuma alternância voltada ao usuário para desativar a funcionalidade de raspagem. Os usuários devem desinstalar completamente a extensão para interromper o processo de captura de dados. Urban Cyber Security Inc. divulga certas práticas em sua política de privacidade. Dardikman destacou que a política afirma explicitamente: “compartilhamos os dados de navegação na Web com nossa empresa afiliada”, identificada como a corretora de dados BiScience, “que usa esses dados brutos e cria insights que são usados comercialmente e compartilhados com parceiros de negócios”. Esse compartilhamento transforma dados brutos de navegação e conversação em insights comercializáveis distribuídos a parceiros externos. Por outro lado, a listagem do Urban VPN Proxy na Chrome Web Store oferece garantias diferentes. A página declara que “seus dados não estão sendo vendidos a terceiros, fora dos casos de uso aprovados” e acrescenta que os dados “não estão sendo usados ou transferidos para fins não relacionados à funcionalidade principal do item”. Essas declarações aparecem ao lado do selo em destaque, sinalizando a avaliação e promoção do Google. O mesmo editor opera sete extensões adicionais do Chrome com funcionalidade idêntica de coleta de IA. Esses aplicativos atendem coletivamente a mais de dois milhões de clientes. Todos, exceto um, possuem um selo de destaque na Chrome Web Store. Cada extensão incorpora os mesmos scripts de executor, permitindo a interceptação de conversas de IA nas plataformas listadas. Dardikman emitiu um aviso direto aos usuários. Ele escreveu: “se você tiver alguma dessas extensões instaladas, desinstale-as agora. Suponha que todas as conversas de IA que você teve desde julho de 2025 foram capturadas e compartilhadas com terceiros”. Esta recomendação é direcionada aos usuários do Urban VPN Proxy e das extensões afiliadas para evitar maior exposição de dados. Os usuários de extensões deste editor recebem permissões documentadas para compartilhamento de dados. Um escrutínio mais amplo se aplica às políticas de privacidade de outros aplicativos. As descobertas de Dardikman destacam permissões que permitem que dados de navegação na web, incluindo interações de IA, fluam para corretores como a BiScience para processamento comercial e distribuição de parceiros.
