拡張機能は、ページの中身を全部読める
ブラウザの拡張機能は、インストールするときに権限を要求します。AI系の拡張がよく求めるのが「アクセスしたすべてのウェブサイト上の自分のデータの読み取りと変更」です。
これを許可すると、その拡張はあなたが開いたすべてのページの中身を読めます。社内の基幹システム、Webメール、クラウド会計、顧客管理画面。表示されているものは全部です。
そして読んだ内容を外部サーバーに送ることもできます。送っているかどうかは、使っている側からは見えません。
危ないものの見分け方
ストアに並んでいるから安全、ではありません。審査はありますが、インストール後の更新で挙動が変わることもあります。
判断材料を並べます。全部満たす必要はありませんが、引っかかる数が多いほど避けたほうがいい。
| 見るところ | 危ない兆候 |
|---|---|
| 開発元 | 会社名も所在地も書いていない。個人名だけ |
| プライバシーポリシー | リンクが切れている。英語の定型文だけ。そもそも無い |
| 要求する権限 | 機能に対して過剰。翻訳なのに「閲覧履歴」まで要求する |
| 公開からの期間 | 数週間しか経っていないのに利用者数が多い |
| レビュー | 短い絶賛が同じ時期に集中している |
| 更新履歴 | 1年以上更新されていない。または頻繁に権限が増えている |
| 名前 | 有名サービスの名前が入っているが、公式ではない |
最後の行が特に多い。「ChatGPT for 〇〇」のような名前の拡張は、ほとんどがOpenAIとは無関係です。名前に有名サービスが入っているだけで公式だと思い込むと危ない。
善良な開発者が作った拡張が、あとから第三者に買収され、更新で情報収集の機能が追加される。この手口は実際に何度も報告されています。インストール時に安全でも、安全であり続ける保証はありません。
権限の確認のしかた
Chromeなら、アドレスバーに chrome://extensions と入れると一覧が出ます。各拡張の「詳細」を開くと、要求している権限が並びます。
見るべきは「サイトへのアクセス」の欄です。
「すべてのサイト」になっているものは、全ページを読めます。本当にそれが必要な拡張かを考えてください。
多くの拡張は「クリックしたときのみ」に変更できます。これに切り替えると、拡張のアイコンを押したときだけ動くようになります。常時監視されなくなるので、できるものは全部これにしてください。
拡張の一覧を開いて、使っていないものを削除する。残すものは「クリックしたときのみ」に変える。これだけで露出がかなり減ります。所要時間は5分くらいです。
会社として打てる手
個人の良識に任せると、必ず誰かが入れます。管理側でできることを挙げます。
- 資産管理ソフトで拡張の一覧を定期的に取る
- Chromeの管理機能で、許可する拡張をリスト方式にする
- 業務で必要な機能は、会社が契約したツールで代替できるようにする
3番が抜けると1番と2番が効きません。翻訳も要約も使えない状態で禁止だけすると、個人のスマホでやるようになります。見えなくなるだけで、やめてはくれません。
オンライン会議の録音ボットも同じ構造
会議に自動参加して録音する拡張も、構造は同じです。会議の音声を外部サーバーに送っています。
こちらは議事録AIの記事に詳しく書きました。参加者の誰かが入れていれば録音される、という点が拡張特有の厄介さです。
一度、全員で見てみるといい
会議の場で、全員に chrome://extensions を開いてもらう。これが一番早いと思っています。
自分が何を入れたか覚えていない人がほとんどです。開いてみると、数年前に入れた見覚えのないものが動いている。そこで初めて実感が湧きます。
説明を聞くより、自分の画面で見たほうが効く。資料を作るより、15分の確認会のほうが安い。