Cuidado con lo que le cuentas a la IA: extensiones populares de navegador están vendiendo tus conversaciones privadas

La privacidad en el uso de la IA nunca ha sido gran cosa, pero con lo que te contamos aquí, sufre un duro revés. Una investigación de la firma de seguridad Koi ha revelado que varias extensiones de navegador populares, disponibles tanto en la Chrome Web Store como en la tienda de Microsoft Edge, están recopilando la totalidad de las conversaciones que los usuarios mantienen con los chatbots de IA. Estas herramientas, que acumulan más de 8 millones de descargas, se presentan bajo la apariencia de utilidades legítimas como VPN o bloqueadores de publicidad, pero esconden un negocio secundario muy lucrativo: la venta de datos para marketing.

Lo más alarmante es que siete de estas ocho aplicaciones contaban con la insignia de Destacado en las tiendas oficiales. Entre los nombres señalados se encuentran Urban VPN Proxy, con más de 7 millones de usuarios combinados, 1ClickVPN Proxy, Urban Browser Guard y Urban Ad Blocker. Todas ellas, desarrolladas por Urban Cyber Security, incluyen scripts ocultos que interceptan la comunicación entre el navegador y plataformas como ChatGPT, Claude, Gemini, Copilot o Perplexity.

Un espionaje imposible de desactivar sin desinstalar

El mecanismo de robo de datos es sofisticado. Las extensiones inyectan código en las páginas de los chatbots para anular las funciones nativas del navegador. Así, puede redirigir todo el tráfico a través de sus propios servidores. Esto les permite capturar no solo los prompts o preguntas del usuario, sino también las respuestas completas de la IA, las marcas de tiempo y los metadatos de la sesión. Incluso si el usuario apaga la función de VPN o el bloqueador de anuncios, el script de recolección de datos sigue operando en segundo plano. Lo hacen enviando la información para fines de analítica de marketing.

Este incidente recuerda que el ecosistema de complementos sigue siendo un campo minado, donde a menudo aparecen extensiones maliciosas que esperan el momento justo para actuar. En este caso, la única mención a esta práctica se encontraba enterrada en una política de privacidad de 6.000 palabras, donde la compañía admitía vagamente el uso de «prompts de IA» para fines comerciales. Dado el tipo de información sensible (datos financieros, problemas de salud, código propietario) que se suele compartir con estas IAs la recomendación es inmediata: si tienes alguna de estas extensiones instalada, elimínala ahora mismo.