افزونه‌های مرورگر سازمانی سطح حمله‌ای هستند که هیچ‌کس آن را مدیریت نمی‌کند
بیشتر برنامه‌های امنیت سازمانی می‌توانند دقیقاً بگویند چه لپ‌تاپ‌هایی در مدیریت دستگاه ثبت شده‌اند، کدام اپلیکیشن‌های SaaS ورود یکپارچه دارند، و کدام پورت‌های USB قفل شده‌اند. از همان تیم امنیتی بپرسید چند افزونه مرورگر در سطح شرکت نصب شده و هر کدام چه چیزی را می‌تواند بخواند، و معمولاً پاسخ یک شانه بالا انداختن است. این شکاف اکنون یکی از بزرگ‌ترین سطوح حمله مدیریت‌نشده در یک دفتر معمولی است.
گزارش امنیت افزونه مرورگر سازمانی ۲۰۲۶ شرکت LayerX نشان داد که ۹۹ درصد کاربران سازمانی حداقل یک افزونه نصب‌شده دارند و تقریباً یک‌چهارم بیش از ده افزونه دارند. افزونه‌ها به‌طور طراحی با مجوزهای گسترده اجرا می‌شوند — خواندن محتوای صفحه، رهگیری درخواست‌های شبکه، تزریق اسکریپت — چون همین چیزی است که یک مدیر رمز عبور یا بررسی‌کننده گرامر را مفید می‌سازد. همین مجوزها یک افزونه آلوده یا مخرب را تقریباً به همان اندازه قدرتمند می‌کند که بدافزاری که از قبل در شبکه شما قرار دارد.
یک نمونه ملموس از نحوه وقوع این مسئله
در آوریل ۲۰۲۶، محققان Socket یک خوشه هماهنگ متشکل از ۱۰۸ افزونه مخرب کروم را شناسایی کردند که زیرساخت فرمان و کنترل مشترکی داشتند و در مجموع حدود ۲۰ هزار بار از طریق فروشگاه رسمی Chrome Web Store نصب شده بودند. از این تعداد، ۵۴ مورد داده‌های هویتی حساب گوگل را از طریق سوءاستفاده از فرآیندهای OAuth برداشت می‌کردند و ۴۵ مورد قابلیت درپشتی داشتند. آنچه این خوشه را سخت قابل شناسایی می‌کرد یک آسیب‌پذیری عجیب نبود — بلکه استفاده افزونه‌ها از قابلیت‌های کاملاً قانونی کروم بود: مجوزهای میزبان، اسکریپت‌های محتوا، و API declarativeNetRequest که برای ابزارهای مسدودکننده تبلیغات و حریم خصوصی در نظر گرفته شده است.
چرا میزان واقعی مسئله مورد اختلاف است
داده‌های خود گوگل می‌گویند کمتر از ۱ درصد نصب‌های فروشگاه کروم در سال ۲۰۲۴ شامل بدافزار بوده است — عددی که شرکت از آن برای استدلال درباره کارآمدی فرآیند بررسی خود استفاده می‌کند. محققان دانشگاهی در استنفورد و CISPA که همین اکوسیستم را از بیرون بررسی کرده‌اند، تخمین زده‌اند که ۲۸۰ میلیون نفر در طول سه سال یک افزونه کروم آلوده به بدافزار نصب کرده‌اند. هر دو عدد می‌توانند همزمان درست باشند.
افزونه‌های هوش مصنوعی ریسکی جدید و سریع‌تر در حال رشد هستند
جدیدترین تحول، افزونه‌های مرورگر مبتنی بر هوش مصنوعی است — خلاصه‌سازها، دستیاران نوشتاری، و ابزارهای شبه‌عامل که محتوای صفحه را برای تغذیه یک مدل می‌خوانند. گزارش LayerX نشان داد این افزونه‌ها ۶۰ درصد بیشتر احتمال دارد یک CVE شناخته‌شده داشته باشند نسبت به کل جمعیت افزونه‌ها. دلیل آن ساختاری است: یک افزونه هوش مصنوعی معمولاً به دسترسی خواندن گسترده‌تری به محتوای صفحه نسبت به یک افزونه ابزار سنتی نیاز دارد.
حاکمیت واقعی افزونه چگونه به نظر می‌رسد
سازمان‌هایی که این مسئله را به‌خوبی مدیریت می‌کنند، تلاش نمی‌کنند افزونه‌ها را کاملاً ممنوع کنند. در عوض، مجموعه کنترل عملی این‌گونه است: نگه‌داری یک فهرست مجاز که از طریق مدیریت مرورگر سازمانی اعمال می‌شود؛ الزام اینکه هر افزونه که دسترسی به تمام سایت‌ها را درخواست می‌کند مرحله تأیید خاصی را طی کند؛ نظارت بر افزونه‌هایی که پس از نصب مجوزهای درخواستی خود را تغییر می‌دهند؛ و رفتار با افزونه‌های هوش مصنوعی به‌عنوان یک دسته بازبینی مجزا با محدودیت‌های پیش‌فرض سخت‌گیرانه‌تر.
هیچ‌کدام از این‌ها به ابزارهای عجیب نیاز ندارد. شکاف سازمانی است، نه فنی: بیشتر تیم‌های فناوری اطلاعات سال‌ها پیش حاکمیت بالغ دستگاه و SaaS ساختند و هرگز همان نظم را به چیزی که هر کارمند ده‌ها بار در روز استفاده می‌کند گسترش ندادند.