Các tiện ích "VPN" cho Chrome, Edge và Firefox được ưa chuộng vì cài nhanh và không cần quyền quản trị. Nhưng phần lớn chúng không phải là VPN theo đúng nghĩa đầy đủ, và tiện ích lại nằm ở một vị trí đặc biệt nhạy cảm: ngay trong trình duyệt, nơi bạn đọc email, giao dịch ngân hàng và trò chuyện với trợ lý AI.

Tháng 12/2025, các nhà nghiên cứu bảo mật cho thấy niềm tin đó có thể bị lạm dụng tệ đến mức nào, khi một tiện ích "VPN" miễn phí được dùng rộng rãi bị phát hiện thu thập các cuộc trò chuyện AI của người dùng. Bài viết này giải thích tiện ích trình duyệt bảo vệ được gì và không bảo vệ được gì, chuyện gì đã xảy ra trong vụ việc đó, và những gì cần kiểm tra trước khi cài.

Tiện ích proxy trên trình duyệt và VPN cho toàn thiết bị

Hai loại này thường được bán dưới cùng một cái tên, nhưng cách hoạt động khác nhau.

Tiện ích proxy trên trình duyệt thay đổi cài đặt proxy của trình duyệt để lưu lượng của trình duyệt đi qua một máy chủ ở xa. Các trang web sẽ thấy địa chỉ IP của máy chủ đó thay vì IP của bạn. Tiện ích không tạo đường hầm mã hoá trên toàn hệ thống. Kết nối của bạn tới các trang mở qua HTTPS vẫn được mã hoá đầu cuối như vốn có, nhưng bản thân tiện ích không thêm lớp mã hoá nào cho lưu lượng của thiết bị.

App VPN cho toàn thiết bị tạo một đường hầm mã hoá ở cấp hệ điều hành. Mọi thứ thiết bị gửi đi, từ mọi trình duyệt và app, cùng các dịch vụ chạy nền và bản cập nhật, đều đi qua đường hầm đó.

Trên thực tế:

  • Phạm vi: tiện ích chỉ bao một trình duyệt; app VPN bao mọi app trên thiết bị.
  • Mã hoá: tiện ích dựa vào HTTPS của từng trang; app VPN mã hoá toàn bộ lưu lượng giữa thiết bị của bạn và máy chủ VPN.
  • Cài đặt: tiện ích thường không cần quyền quản trị; app VPN thường cần.
  • Cách dùng phổ biến: tiện ích hợp để đổi IP nhanh khi lướt web và đặt quy tắc theo từng trang; app VPN hợp với Wi-Fi công cộng, các app khác và quyền riêng tư cho cả thiết bị.

Bài VPN là gì? nói chi tiết hơn về VPN cho toàn thiết bị.

Vì sao tiện ích là chỗ nhạy cảm

Để làm được việc của mình, tiện ích proxy hay tiện ích "quyền riêng tư" thường xin quyền rất rộng. Trang trợ giúp về quyền truy cập của Chrome Web Store giải thích rằng một tiện ích có quyền với "dữ liệu của bạn trên mọi trang web bạn truy cập" có thể đọc, yêu cầu hoặc sửa đổi dữ liệu trên mọi trang, kể cả trang ngân hàng và mạng xã hội. Trang này cũng lưu ý rằng một lời cảnh báo không nhất thiết có nghĩa là tiện ích nguy hiểm. Nhiều công cụ proxy chính đáng cần loại quyền này để hoạt động.

Vấn đề là bạn tin tưởng nhà phát hành không chỉ ở hôm nay mà còn ở mọi bản cập nhật sau này. Trình duyệt tự động cập nhật tiện ích, thường không hỏi bạn.

Vụ việc năm 2025: một tiện ích "Nổi bật" thu thập trò chuyện AI

Tháng 12/2025, Malwarebytes và The Register đưa tin về nghiên cứu của công ty bảo mật Koi Security đối với một tiện ích proxy VPN miễn phí có hơn 6 triệu người dùng trên Chrome và 1,3 triệu người dùng trên Edge.

Theo các bản tin đó:

  • Một bản cập nhật âm thầm đã thay đổi hành vi. Phiên bản 5.5.0, phát hành ngày 9/7/2025, bắt đầu đánh chặn các cuộc trò chuyện của người dùng với các nền tảng AI, gồm ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity, DeepSeek, Grok và Meta AI. Các phiên bản trước không làm vậy, và trình duyệt đã tự động cập nhật cho người dùng.
  • Tính năng này bật sẵn theo mặc định. The Register cho biết việc thu thập được bật bằng một thiết lập viết cứng trong mã, không có công tắc nào cho người dùng; cách duy nhất để dừng là gỡ tiện ích. Theo các bản tin, tiện ích vẫn thu thập dữ liệu ngay cả khi đã tắt VPN.
  • Dữ liệu được gửi tới một công ty môi giới dữ liệu. Malwarebytes cho biết các cuộc trò chuyện được gửi tới BiScience, công ty mẹ của nhà phát hành, chuyên thu thập dữ liệu duyệt web.
  • Không chỉ có một tiện ích. Bảy tiện ích khác của cùng nhà phát hành chứa cùng đoạn mã, nâng tổng số người dùng lên hơn 8 triệu.
  • Tiện ích có cả huy hiệu tin cậy. Tiện ích này được chấm 4,7 sao và có huy hiệu "Featured" (Nổi bật) của Google trên Chrome Web Store.

Malwarebytes lưu ý nhà phát hành có nhắc tới "ChatAI communication" (liên lạc ChatAI) trong một màn hình xin đồng ý và trong chính sách quyền riêng tư, nhưng người dùng đã cài từ trước tháng 7/2025 chưa bao giờ thấy màn hình đó. Lời khuyên của Malwarebytes cho người bị ảnh hưởng là gỡ các tiện ích này, "coi như mọi cuộc trò chuyện AI kể từ ngày 9/7" đều có thể đã bị lộ, đồng thời cân nhắc đặt lại mật khẩu và xoá cookie.

Bài học ở đây không phải là tiện ích nào cũng độc hại, mà là điểm đánh giá, số lượt tải và thậm chí cả huy hiệu của kho tiện ích đều không bảo đảm được gì.

Ai đứng sau sản phẩm?

Quyền sở hữu quan trọng với mọi VPN hay proxy vì nhà cung cấp có thể thấy lưu lượng của bạn đi đâu, và báo cáo ngày 1/4/2025 của Tech Transparency Project về các app VPN miễn phí không công bố chủ sở hữu cho thấy vì sao nên hỏi ai đang vận hành dịch vụ (cách kiểm tra có trong bài VPN miễn phí hay trả phí).

Danh sách kiểm tra trước khi cài

  • Kiểm tra nhà phát hành. Có tên công ty thật, trang web và địa chỉ liên hệ không? Những thông tin này có khớp với chính sách quyền riêng tư không?
  • Đọc kỹ các quyền. Quyền truy cập rộng vào mọi trang web là chuyện thường với tiện ích proxy, nhưng hãy xem tiện ích có đòi thêm những thứ lẽ ra không cần, như lịch sử duyệt web hay bộ nhớ tạm (clipboard), không.
  • Đọc chính sách quyền riêng tư để tìm chi tiết cụ thể. Xem họ thu thập gì, có chia sẻ hay bán không, và để ý những cụm từ mơ hồ về "dữ liệu duyệt web" hay "đối tác phân tích".
  • Dè chừng kiểu "miễn phí mãi mãi" mà không thấy mô hình kinh doanh. Vận hành máy chủ tốn tiền; hãy tự hỏi dịch vụ lấy tiền từ đâu để duy trì.
  • Giữ ít tiện ích thôi. Mỗi tiện ích là thêm một nhà phát hành mà bạn phải tin tưởng ở các bản cập nhật sau này. Gỡ những tiện ích bạn không còn dùng.
  • Xem lại sau mỗi lần cập nhật. Nếu tiện ích đột nhiên xin quyền mới hoặc hiện màn hình xin đồng ý mới, hãy dừng lại và đọc kỹ.
  • Kiểm tra rò rỉ. Trình duyệt có thể để lộ địa chỉ qua WebRTC; công cụ Kiểm tra rò rỉ WebRTC cho bạn thấy trình duyệt của mình tiết lộ những gì.
  • Coi trò chuyện AI là thông tin nhạy cảm. Tránh dán mật khẩu, số giấy tờ tuỳ thân hay tài liệu riêng tư vào trợ lý AI, dù bạn dùng tiện ích nào.

Tiện ích VPNRice ở đâu trong chuyện này

VPNRice có tiện ích cho Chrome và Firefox. Giống các tiện ích proxy khác, chúng chỉ chuyển lưu lượng của trình duyệt qua máy chủ VPNRice, nên các trang web thấy địa chỉ IP của máy chủ thay vì IP của bạn. Bạn có thể chọn trang nào đi qua VPNRice và trang nào kết nối trực tiếp; tiện ích không tạo đường hầm VPN cấp hệ thống. Các trang mở qua HTTPS vẫn được mã hoá đầu cuối. Nếu cần bảo vệ cả thiết bị, chẳng hạn trên Wi-Fi công cộng, hãy dùng app VPNRice đầy đủ cho máy tính hoặc điện thoại.

Những điểm chính

  • Tiện ích trình duyệt thường chỉ đổi IP cho một trình duyệt; app VPN mã hoá lưu lượng cho cả thiết bị.
  • Tiện ích tự cập nhật âm thầm, nên bạn đang tin vào hành vi tương lai của nhà phát hành, chứ không chỉ phiên bản hôm nay.
  • Theo nghiên cứu của Koi Security, năm 2025, một tiện ích trình duyệt miễn phí được quảng bá là VPN, có huy hiệu "Featured" và hàng triệu người dùng, bị phát hiện thu thập trò chuyện AI.
  • Hãy kiểm tra nhà phát hành, quyền truy cập và chính sách quyền riêng tư, giữ ít tiện ích, và kiểm tra trình duyệt xem có rò rỉ không.