Mitte Februar 2026 enthüllten die Forscher der Sicherheitsplattform LayerX die Existenz einer Kampagne namens AiFrame: 30 Chrome-Erweiterungen, die sich als Assistenten basierend auf ChatGPT, Claude, Gemini und Grok ausgaben, hatten sich in mehr als 300.000 Browsern eingenistet. Gestohlene Zugangsdaten, abgegriffene Gmail-E-Mails, aus der Ferne aufgezeichnete Gespräche: Hinter sorgfältigen Oberflächen verbarg sich eine Spionagearchitektur, die von einem einzigen Server gesteuert wurde. Und mehrere dieser Erweiterungen wurden von Google mit dem „Featured“-Abzeichen empfohlen.
Eine industrielle Kampagne hinter vertrauten Namen
30 Erweiterungen, ein Gehirn
Die Forscherin Natalie Zargarov von LayerX Security deckte die Operation am 13. Februar 2026 auf. Hinter beruhigenden Namen wie Gemini AI Sidebar (80.000 Nutzer vor der Entfernung), AI Sidebar (70.000), AI Assistant (60.000) oder ChatGPT Translate (30.000) teilten die 30 Erweiterungen denselben Quellcode, dieselben Berechtigungen und eine einzige Infrastruktur, die auf der Domain tapnetic[.]pro gehostet wurde. Keine von ihnen ließ ein KI-Modell lokal laufen. Die Angreifer nutzten die massive Begeisterung für diese Tools aus, während Städte wie Bordeaux IA-Campus zur Ausbildung der zukünftigen Grok- und ChatGPT-Experten starten.
Der Trick mit dem unsichtbaren iframe
Ihr Mechanismus war ausgeklügelt. Statt Funktionen lokal zu integrieren, zeigte jede Erweiterung ein iframe im Vollbild an, das von einer entfernten Subdomain geladen wurde (zum Beispiel claude.tapnetic.pro). Der Nutzer glaubte, mit einem KI-Assistenten zu interagieren, in Wirklichkeit wurde die Oberfläche aber von einem Server kontrolliert, der den Angreifern gehörte. Dieses System erlaubte es, Funktionalitäten aus der Ferne zu ändern, ohne eine vom Chrome Web Store genehmigte Aktualisierung einzureichen, ein Mechanismus ähnlich dem in unserer Untersuchung zu wie ein einfaches Update eine Erweiterung in Spyware verwandeln kann. Was bei der Installation überprüft wurde, war also nicht das, was tatsächlich ausgeführt wurde.
„Indem sie iframes injizieren, die vertrauenswürdige KI-Oberflächen nachahmen, haben sie einen nahezu unsichtbaren Man-in-the-Middle-Angriff geschaffen, der alles abfängt – von API-Schlüsseln bis hin zu persönlichen Daten.“
Natalie Zargarov, Forscherin LayerX Security, 13. Februar 2026
E-Mails, Passwörter, Gespräche: Was gestohlen wurde
Gmail im Visier
Von den identifizierten 30 Erweiterungen zielten 15 speziell auf Gmail ab. Ein Skript, das beim Laden von mail.google.com injiziert wurde, extrahierte den Inhalt der Diskussionsfäden und sogar die nicht gesendeten Entwürfe. Die Daten wurden an die Infrastruktur der Angreifer außerhalb des Sicherheitsbereichs von Google übertragen. Die Erweiterungen verlangten die Erlaubnis „all_urls“, was ihnen Zugang zu jeder besuchten Website gab, einschließlich authentifizierter Seiten: Banken, Unternehmensintranets, HR-Plattformen. Ein Risiko, das an die Gefahren von kostenlosen VPNs erinnert, bei denen der Nutzer unwissentlich den Zugriff auf seine gesamte Navigation preisgibt.
Ein Mikrofon, das aus der Ferne aktiviert werden kann
Noch besorgniserregender: Die Erweiterungen enthielten eine per Fernsteuerung aktivierbare Funktion zur Spracherkennung über die Web Speech API. Einmal aktiviert, konnte sie Gespräche am Computer aufzeichnen und die Transkripte an den Kontrollserver senden. Der Nutzer wurde nie über die Aktivierung dieser Funktion informiert.
„Diese Kampagne nutzt die konversative Natur der Interaktionen mit der KI aus, die Benutzer dazu gebracht hat, detaillierte Informationen zu teilen.“
Natalie Zargarov, LayerX Security
Google wird kritisiert, die Bedrohung bleibt
Das „Featured“-Abzeichen für infizierte Erweiterungen
Mehrere dieser Erweiterungen erhielten das „Featured“-Abzeichen des Chrome Web Store, das ihre Zuverlässigkeit garantieren soll. Dieses Label, das von Google nach Prüfung vergeben wird, verstärkte das Vertrauen der Nutzer mechanisch und vervielfachte die Installationen. Die Kampagne nutzte eine sogenannte „Extension Spraying“-Technik: Sobald eine Erweiterung entfernt wurde, tauchte eine identische Kopie unter einer neuen Identifikation, aber mit demselben Code und derselben Infrastruktur wieder auf. Gemini AI Sidebar, die mit 80.000 Nutzern entfernt wurde, wurde einige Tage später durch AI Sidebar ersetzt.
7 Erweiterungen noch online
Zum Zeitpunkt der Veröffentlichung des LayerX-Berichts waren sieben Erweiterungen noch im Chrome Web Store verfügbar mit insgesamt mehr als 180.000 Installationen. Die Command-and-Control-Infrastruktur blieb auf allen infizierten Browsern aktiv. Die Kampagne AiFrame ist übrigens kein Einzelfall: Im Dezember 2025 hatte das Unternehmen Koi Security aufgedeckt, dass ein Akteur namens ShadyPanda 4,3 Millionen Nutzer von Chrome und Edge über legitime, aber manipulierte Erweiterungen kompromittiert hatte, nachdem sie jahrelang normal funktionierten.
- Überprüfen Sie die Berechtigungen: Eine KI-Erweiterung hat keinen Grund, Zugang zu „allen Websites“ zu verlangen
- Kontrollieren Sie den Entwickler: Webseite, Historie, weitere veröffentlichte Erweiterungen
- Vertrauen Sie nicht auf Bewertungen: Rezensionen können gefälscht sein, selbst mit dem „Featured“-Abzeichen
- Begrenzen Sie die Anzahl der Erweiterungen: Jedes installierte Modul ist eine zusätzliche Angriffsfläche
- Deinstallieren Sie sofort die im LayerX-Bericht genannten Erweiterungen, falls Sie diese installiert haben
