پلاگین‌های مخرب JetBrains کلیدهای API هوش مصنوعی را سرقت می‌کنند و افزونه‌های کروم مکالمات چت‌بات را ضبط می‌کنند

محققان امنیت سایبری یک «کمپین بدافزاری هماهنگ» را در بازار افزونه‌های JetBrains شناسایی کرده‌اند که طی آن حداقل ۱۵ افزونه مخرب منتشر شده‌اند که قادر به سرقت کلیدهای API سرویس‌دهندگان هوش مصنوعی هستند. به گفته محقق شرکت Aikido Security، این افزونه‌ها خود را به عنوان دستیارهای کدنویسی مبتنی بر مدل‌های زبانی بزرگ (LLM) نظیر DeepSeek معرفی می‌کنند و در عین حال که عملکرد وعده‌داده‌شده را ارائه می‌دهند، کلید API وارد‌شده توسط کاربر را به سروری تحت کنترل مهاجم ارسال می‌کنند. این فعالیت از اواخر اکتبر ۲۰۲۵ آغاز شده و تا ۱۰ ژوئن ۲۰۲۶ ادامه داشته است. دو افزونه از این مجموعه، یعنی CodeGPT AI Assistant و DeepSeek AI Assist، هر کدام بیش از ۲۵ هزار بار دانلود شده‌اند، هرچند صحت این آمار مشخص نیست. تحلیل‌ها نشان می‌دهد این افزونه‌ها همچنین یک سازوکار پرداخت داخلی دارند که پس از دریافت مبلغ اندکی از کاربر، یک کلید API فعال به او بازمی‌گردانند؛ این موضوع نشان می‌دهد اپراتورهای این کمپین احتمالاً کلیدهای سرقتی را در قالب یک طرح کسب درآمد غیرقانونی به سایر عوامل تهدید می‌فروشند.

همزمان، دو افزونه مسدودکننده تبلیغات (ad blocker) در مرورگر گوگل کروم با نام‌های Smart Adblocker و Adblock for Browser شناسایی شده‌اند که مکالمات کاربران با چت‌بات‌های هوش مصنوعی نظیر ChatGPT، Claude، Gemini و دیگران را رهگیری و ضبط می‌کنند. این عملیات که توسط محقق Jean-Marie R با نام PromptSnatcher نام‌گذاری شده، داده‌های جمع‌آوری‌شده شامل تاریخچه مکالمات، نوع مدل مورد استفاده و اطلاعات اشتراک را بدون اطلاع کاربر به زیرساخت‌های تحت کنترل اپراتور ارسال می‌کند. این دو افزونه که هنوز در فروشگاه Chrome Web Store در دسترس هستند، به ترتیب ۹۰ هزار و ۱۰ هزار کاربر دارند و این نوع حملات در دسته‌بندی موسوم به «سرقت پرامپت» (Prompt Poaching) قرار می‌گیرند.