L’extension de confidentialité qui a vendu vos discussions IA
Les gens l’avaient installée pour être plus en sécurité en ligne. Elle avait le badge « Featured » de Google et une note de 4,7 étoiles. Puis une mise à jour s’est mise, en silence, à collecter tout ce qu’ils disaient à ChatGPT, Claude et Gemini.
Vous voulez un peu plus de confidentialité, alors vous installez un VPN gratuit. Il a des milliers de bons avis et un badge de Google qui indique qu’il est recommandé. Vous l’oubliez. Des mois plus tard, vous interrogez une IA sur une grosseur que vous avez trouvée, sur votre couple, sur l’argent que vous devez.
C’est ce qui est arrivé à des millions de personnes avec Urban VPN Proxy. En décembre 2025, des chercheurs de Koi Security ont découvert que l’extension collectait les conversations avec huit services d’IA : ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity, DeepSeek, Grok et Meta AI (Malwarebytes).
Ce qui s’est passé
- La collecte a commencé avec une mise à jour le 9 juillet 2025 (version 5.5.0). Personne n’avait eu à cliquer sur quoi que ce soit.
- Plus de six millions de personnes l’utilisaient dans Chrome, et 1,3 million dans Edge. Sept autres extensions de la même entreprise contenaient le même code.
- Les conversations étaient envoyées à BiScience, l’entreprise derrière l’extension, que Malwarebytes décrit comme un courtier en données.
Un mois plus tard, rebelote. Deux fausses extensions de « barre latérale IA », copies d’une vraie, cumulaient plus de 900 000 téléchargements. Elles envoyaient à leurs auteurs des conversations complètes avec ChatGPT et DeepSeek, ainsi que l’adresse de chaque onglet ouvert (SecurityWeek, janvier 2026).
Pourquoi cela se reproduit sans cesse
Une extension capable de lire une page web peut lire ce que vous tapez dans une IA. C’est vrai pour les outils utiles comme pour les outils malveillants. Un badge ou une bonne note ne dit rien de ce que fera la prochaine mise à jour.
Comment vous protéger
- Ouvrez votre page d’extensions et supprimez celles que vous n’utilisez pas. Méfiez-vous particulièrement des VPN gratuits et des « barres latérales IA ».
- Regardez à quoi chaque extension peut accéder. « Lire et modifier toutes vos données sur tous les sites web » inclut vos discussions IA.
- Privilégiez les extensions dont le code est public, pour que chacun puisse vérifier ce qu’elles font.
Et Kamelo ?
Kamelo est aussi une extension, et il doit lire ce que vous tapez pour pouvoir le protéger. Vous ne devriez donc rien avoir à croire sur parole. C’est pourquoi chaque ligne de Kamelo est open source, et pourquoi il n’effectue aucune requête réseau de son côté : ouvrez les outils de développement de votre navigateur pendant que vous utilisez une IA, et vous ne verrez rien partir vers Kamelo. Les versions sont signées et proviennent uniquement des boutiques officielles de Chrome et d’Edge.
La confiance devrait pouvoir se vérifier. Comment Kamelo protège vos données.