一個(gè)周日晚上，安全研究員馬克斯·亨特例行查看自動(dòng)化掃描器的告警清單。屏幕上彈出一條標(biāo)注為"低優(yōu)先級(jí)"的匹配項(xiàng)：兩個(gè)不同的瀏覽器擴(kuò)展共享同一個(gè)Google Tag Manager ID。這種重疊在垃圾擴(kuò)展中很常見，通常意味著同一個(gè)開發(fā)者為不同馬甲復(fù)用了統(tǒng)計(jì)代碼。亨特本打算按下"忽略"，但在關(guān)閉前多看了一眼兩個(gè)擴(kuò)展的名稱——"Smart Adblocker"和"Adblock for Browser"。它們都宣稱自己是廣告攔截工具，都擁有接近五星的評(píng)分，都活躍在Chrome應(yīng)用商店的推薦列表里。亨特的好奇心被勾起來了。

接下來的72小時(shí)，他發(fā)現(xiàn)這是一個(gè)偽裝成廣告攔截?cái)U(kuò)展、暗中竊取AI對(duì)話記錄的精密竊密行動(dòng)。兩個(gè)擴(kuò)展共安裝了約9萬次。受害者使用ChatGPT、Claude、Gemini等9個(gè)主流AI平臺(tái)時(shí)的每一條提示詞和回復(fù)，都在不知情的情況下被完整傳送到運(yùn)營(yíng)者的服務(wù)器。安全分析機(jī)構(gòu)MalExt Sentry在給Cyber Security News的報(bào)告中首次披露了詳情，內(nèi)部追蹤代號(hào)為"Panel 231"，對(duì)外命名為PromptSnatcher。

PromptSnatcher的偽裝經(jīng)過精心設(shè)計(jì)。這兩個(gè)擴(kuò)展采用了真實(shí)、公開的廣告攔截過濾規(guī)則列表，包括行業(yè)標(biāo)準(zhǔn)EasyList。對(duì)于任何普通用戶來說，安裝后確實(shí)能看到廣告消失——擴(kuò)展的核心功能是真實(shí)運(yùn)作的。但這層合法外殼之下，隱藏著一套與廣告攔截組件完全隔離的遙測(cè)引擎。它不會(huì)觸發(fā)任何性能警告，也不會(huì)在表面上表現(xiàn)出任何可疑行為。只有深入分析擴(kuò)展的源代碼，才能發(fā)現(xiàn)那段精心編寫的竊密腳本。

惡意核心是一個(gè)名為shared-page-capture.js的腳本文件，被直接注入用戶正在活躍瀏覽的網(wǎng)頁(yè)中。它一旦加載完成，就開始對(duì)全局的fetch、XMLHttpRequest和WebSocket函數(shù)進(jìn)行攔截重寫。這意味著用戶在AI聊天界面輸入的文字、收到的模型回復(fù)，都需要先通過這段惡意代碼的"收費(fèi)站"才能呈現(xiàn)在屏幕上。所有對(duì)話記錄被暫存于緩沖區(qū)，提示詞最多存儲(chǔ)10000個(gè)字符，回復(fù)最多存儲(chǔ)30000個(gè)字符，隨后被打包發(fā)送到攻擊者控制的遠(yuǎn)程服務(wù)器。

每條傳輸?shù)臄?shù)據(jù)包所包含的信息遠(yuǎn)不止對(duì)話本身。研究人員發(fā)現(xiàn)，每次外傳的數(shù)據(jù)中還包括唯一的設(shè)備識(shí)別ID、平臺(tái)名稱、對(duì)話ID、用戶正在使用的AI模型標(biāo)識(shí)，以及用戶是否屬于付費(fèi)訂閱層級(jí)。這種數(shù)據(jù)采集的精確度和顆粒度指向一個(gè)明確結(jié)論：這不是漫無目的的批量竊取，而是有針對(duì)性、有商業(yè)意圖的定向收集。MalExt Sentry的分析師指出，這些信息足以用來建立詳細(xì)的AI用戶畫像，進(jìn)行二次銷售，或者判斷哪些付費(fèi)用戶具有更高的商業(yè)價(jià)值。

更隱蔽的是兩個(gè)擴(kuò)展的部署策略。盡管"Smart Adblocker"和"Adblock for Browser"使用不同的名稱、指向不同的域名，它們的后端代碼、服務(wù)器基礎(chǔ)設(shè)施以及一套名為L(zhǎng)DP_MESSAGE的內(nèi)部通信協(xié)議完全一致。實(shí)際上它們是同一操作者搭建的同一款工具，只是穿了兩件不同的外衣同時(shí)上架。這種"分割部署"手法在黑色產(chǎn)業(yè)鏈中并不新鮮，目的是擴(kuò)大覆蓋面的同時(shí)降低風(fēng)險(xiǎn)——即便一個(gè)擴(kuò)展被舉報(bào)下架，另一個(gè)還可以繼續(xù)運(yùn)行，整體竊密行動(dòng)不會(huì)中斷。