Urban VPN Proxy uzantısının kullanıcıların yapay zekâ sohbetlerini topladığı ve ticari analiz amacıyla paylaştığı bildirildi

Koi Security tarafından 15 Aralık 2025’te yayımlanan teknik incelemede, Urban Cyber Security Inc. tarafından geliştirilen Urban VPN Proxy tarayıcı uzantısının Temmuz 2025’te yayımlanan 5.5.0 sürümüyle kullanıcıların yapay zekâ sohbetlerini toplamaya başladığı bildirildi. Veri toplamanın başladığı kesin gün bağımsız kaynaklarda belirtilmediğinden, olay tarihi olarak vaka kaydında verilen 9 Temmuz 2025 esas alınmıştır.

Araştırmacılar, uzantının ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity, DeepSeek, Grok ve Meta AI dâhil olmak üzere çeşitli hizmetlerin sayfalarına platforma özgü betikler yerleştirdiğini belirtti. Bu betiklerin tarayıcının ağ iletişimi işlevlerini izleyerek kullanıcı istemlerini, model yanıtlarını, zaman bilgilerini ve oturumla ilişkili teknik verileri yakaladığı öne sürüldü. Koi’ye göre işlem, VPN bağlantısı etkin olmasa da arka planda devam ediyor ve ilgili sürümde sohbet toplama işlevi için ayrı bir kullanıcı denetimi bulunmuyordu.

Koi, aynı işlevin Urban VPN Proxy’nin yanı sıra aynı yayıncıyla ilişkili yedi Chrome ve Edge uzantısında bulunduğunu ve toplam kurulum sayısının sekiz milyonu aştığını bildirdi. Urban VPN Proxy’nin Chrome sürümünün tek başına altı milyondan fazla kullanıcıya ve Google’ın “Öne Çıkan” işaretine sahip olduğu aktarıldı. Bu rakamlar kurulum sayısını göstermekte olup tüm kullanıcıların yapay zekâ sohbetlerinin fiilen toplandığını kanıtlamamaktadır.

Urban VPN’in gizlilik politikası, yapay zekâ hizmetlerine gönderilen istem ve çıktıları toplayabileceğini, bu verilerde hassas kişisel bilgilerin bulunabileceğini ve istemlerin pazarlama analitiği amacıyla açıklanabileceğini belirtmektedir. Politika ayrıca tarama verilerinin bağlı şirketle paylaşıldığını ve filtrelenmiş verilerden ticari içgörüler üretildiğini ifade etmektedir.

Şirket, araştırmanın yayımlanmasının ardından iddiaların bir bölümünü reddetti. Urban VPN, yapay zekâ koruma özelliğinin varsayılan olarak etkin olmadığını, işlemenin yalnızca açık kullanıcı onayından sonra gerçekleştiğini ve kişisel olarak tanımlanabilir bilgi toplamadığını savundu. Bu açıklama, Koi’nin işlevin varsayılan olarak etkin olduğu ve kapatılamadığı yönündeki teknik değerlendirmesiyle çelişmektedir.

Kamuya açık bilgilerde kaç kullanıcının sohbetinin aktarıldığı, verilerin hangi müşterilere ulaştığı veya doğrulanmış bireysel zararların kapsamı açıklanmadı. Bu nedenle olay, geniş ölçekli ve hassas veri toplama riski taşıyan, ancak kapsamı ile kullanıcı onayı konusunda araştırm