Une extension Chrome vole des conversations liées à des assistants d’IA, selon Netskope Threat Labs. Retirée du Chrome Web Store au début de 2026 après des accusations de “vol” de discussions, elle réapparaît aujourd’hui et regagne des environnements professionnels grâce à des mécanismes de diffusion de Google. Le point le plus préoccupant : des mises à jour récentes auraient inclus de nouveaux comportements malveillants, même si certaines versions semblaient avoir “corrigé” le problème initial.
Cette histoire rappelle qu’une suppression temporaire ne garantit pas la disparition durable d’un risque. Les utilisateurs et, surtout, les équipes de sécurité doivent rester vigilants face aux extensions qui reviennent après un retrait.
Une extension répertoriée comme assistant IA
L’extension concernée s’intitule “AI Sidebar with DeepSeek, ChatGPT, Claude and more”. Elle est présentée comme un assistant destiné aux utilisateurs de Chrome, avec une promesse d’accès et d’interaction autour d’outils d’IA connus.
Pourtant, Netskope indique qu’elle a déjà été signalée pour avoir scrapé du contenu de conversations provenant de systèmes comme ChatGPT et DeepSeek, puis l’avoir transmis vers des domaines externes. Cette collecte s’inscrivait donc dans un schéma de récupération de données sans consentement explicite.
Plus de 300 000 installations avant son retrait
Avant d’être retirée, l’extension aurait atteint un volume significatif : plus de 300 000 installations et une note d’environ 4,6 étoiles sur le Chrome Web Store. Autrement dit, des centaines de milliers de personnes ont pu faire confiance à une application pourtant liée à des comportements indésirables.
Le signalement d’OX Security remonte à décembre 2025 : l’éditeur de l’extension aurait été pointé du doigt pour l’exfiltration de contenus de conversation. En janvier 2026, Google a alors retiré l’extension de son store, ce qui semblait marquer une première étape de remédiation.
Le comportement “calmé” avant de réapparaître
Selon Netskope, le comportement malveillant associé à la collecte de conversations aurait ensuite disparu des versions ultérieures. De plus, la politique de confidentialité de l’extension ferait désormais référence à la conduite antérieure, ce qui peut donner l’impression d’une prise en compte.
Mais cette accalmie n’aurait pas duré. À partir d’août 2026, l’extension serait redevenue active sur le Chrome Web Store et, surtout, elle toucherait de nouveau des navigateurs d’entreprise.
Ce retour s’appuie sur un point technique important : Netskope affirme que la propagation passe par les infrastructures de distribution de Google, y compris via la distribution CRX. Ainsi, même après un retrait, un cycle de réactivation peut redémarrer via des mises à jour et des canaux de livraison.
Des versions mises à jour pour “faire propre”
Netskope cite une version 1.7.2.0, diffusée entre le 20 et le 31 juillet 2026. D’après l’analyse, cette version se serait montrée “clean” au premier abord, avec des fonctionnalités de base, comme si les opérateurs cherchaient à établir une ligne d’historique de mise à jour crédible.
Environ deux semaines plus tard, une version 1.7.3.0 aurait suivi. Netskope décrit un changement très ciblé : une addition “chirurgicale” d’une vingtaine de lignes dans un script précis, suffisante pour activer un nouveau mécanisme.
Un schéma d’affiliation déclenché par les mises à jour
Ce que Netskope met en évidence, ce n’est pas seulement un risque lié aux conversations IA. Dans la version 1.7.3.0, l’extension utiliserait des événements de mise à jour et de désinstallation pour alimenter une stratégie de monétisation.
Concrètement, lorsque Chrome signale une mise à jour de l’extension, un service worker ouvrirait un lien d’affiliation dans un nouvel onglet. Le lien passerait ensuite par un raccourcisseur d’URL et mènerait à une plateforme de génération de vidéos alimentée par un programme d’affiliation public.
Autre détail notable : des commentaires dans le code indiqueraient que le déclenchement doit intervenir sur l’update plutôt que sur l’installation. Le résultat est donc différent d’un paiement unique : chaque nouvelle version deviendrait une occasion de générer une nouvelle commission.
La désinstallation aussi utilisée pour générer des renvois
Netskope décrit également un mécanisme lié à la suppression de l’extension. Ici, l’attaque tirerait parti d’une particularité de Chrome : seul le dernier URL d’affiliation pour la désinstallation enregistrée serait celle qui s’exécute.
Les opérateurs surécriraient alors l’URL légitime environ cinq secondes après son chargement. Ainsi, même si un utilisateur tente de supprimer l’extension, une redirection pourrait encore se produire “sur la sortie”, générant un nouveau renvoi.
Des incohérences dans l’identité de l’éditeur
Pour renforcer l’alerte, Netskope pointe des éléments d’attribution présents dans les fichiers de l’extension. Une entité nommée Extchange.com apparaîtrait comme développeur et responsable du traitement des données, avec un domaine enregistré en février 2024. Or, Netskope note qu’il n’y aurait pas d’informations publiques claires sur l’enregistrement.
En parallèle, la fiche du Chrome Web Store afficherait un nom de développeur qui semble ne pas correspondre : il afficherait par exemple DeepSeek AI. Pour les équipes de sécurité, ces discordances constituent souvent un indicateur d’habillage trompeur.
Détection à grande échelle sur les navigateurs d’entreprise
Netskope affirme avoir détecté et bloqué l’arrivée de la version 1.7.3.0 sur des postes d’entreprise. Le blocage aurait été classé sous la dénomination Trojan.GenericFCA.Script.37952.
L’entreprise indique également avoir signalé l’extension au Chrome Web Store avant de publier ses observations. En conséquence, la recommandation reste simple : supprimer l’extension des environnements concernés dès que possible.
Le message de Netskope va plus loin : même si le mécanisme d’affiliation peut sembler “moins grave” que le vol de conversations, le même canal de distribution pourrait servir à livrer un contenu bien plus dangereux lors d’un prochain cycle.
Pourquoi ce cas doit alerter les organisations
Ce retour d’extension illustre un risque concret pour les organisations : l’appareil n’est pas seulement exposé au premier incident, mais aussi à la réactivation via des mises à jour ultérieures. Lorsque des extensions repassent par des infrastructures reconnues, l’utilisateur peut continuer à considérer le store comme une garantie.
En pratique, les équipes IT et sécurité devraient compléter les contrôles d’accès par une vigilance sur les extensions réellement installées, idéalement en inventoriant les modules, en imposant des règles de désactivation et en réagissant rapidement aux signalements.
Enfin, ce cas souligne l’importance des politiques internes : même une extension “présentée” comme un outil utile d’IA peut cacher des comportements indésirables, qu’il s’agisse de collecte de données ou de redirections d’affiliation.
Conclusion
En résumé, cette affaire montre qu’une extension Chrome vole peut revenir après un retrait et reprendre sa diffusion, cette fois avec des mises à jour conçues pour déclencher un schéma de monétisation via les événements de Chrome. Netskope recommande aux organisations concernées d’éliminer l’extension et de surveiller étroitement les mises à jour qui pourraient réintroduire des charges utiles plus nuisibles.
