Google Chrome Implanta Modelo de IA de 4GB Sem Consentimento do Usuário

O Google Chrome está baixando silenciosamente um modelo de IA de 4GB para máquinas de usuários sem notificação ou consentimento, segundo o pesquisador de segurança Alexander Hanff. O arquivo é weights.bin, o payload binário do modelo Gemini Nano leve do Google.

Hanff verificou o comportamento usando logs de eventos do sistema de arquivos do macOS em um perfil Chrome novo sem interação manual. O navegador avaliou os recursos de hardware do sistema, o sinalizou como elegível, e completou o download de 4GB em segundo plano em pouco mais de quatorze minutos. Se o arquivo for excluído, o Chrome o baixa automaticamente novamente a menos que o usuário desabilite flags experimentais ou desinstale o navegador completamente.

Hanff documentou um padrão similar com o aplicativo Claude Desktop do Anthropic, que silenciosamente instalou uma ponte de integração de navegador em múltiplos navegadores baseados em Chromium, incluindo cinco que ele não tinha instalados, sem permissão explícita. A ponte se reinstala se removida. Ambos os fornecedores tratam dispositivos de usuário como alvos de implantação.

Hanff argumenta que o download silencioso viola as regras da Diretiva de Privacidade Eletrônica da UE sobre armazenamento de dados em dispositivos de usuário e os requisitos de processamento lícito da GDPR. Nenhuma reivindicação foi testada em tribunal. A Lei de IA da UE adiciona obrigações de divulgação que distribuidores de software devem mapear contra práticas de entrega de modelo de fundo. O Google não emitiu uma resposta pública.

A escala amplifica os riscos. Hanff calcula que implantar 4GB em 500 milhões de dispositivos—aproximadamente 15 por cento da base de instalação do Chrome—consumiria aproximadamente 2 exabytes de largura de banda, 120 GWh de energia, e geraria 30,000 toneladas de equivalente de CO2 apenas para transferência de arquivo. Em 1 bilhão de dispositivos (30 por cento de usuários), essas cifras dobram: 4 exabytes, 240 GWh, e 60,000 toneladas CO2e.

Frotas Chrome gerenciadas em jurisdições da UE podem ter exposição regulatória se não auditaram o que o navegador instala autonomamente. Qualquer estratégia de implantação de IA interna usando navegadores baseados em Chromium como vetor de distribuição precisa de consentimento explícito e divulgação, ou corre o risco do mesmo escrutínio. CISOs devem tratar a entrega silenciosa de modelo como uma lacuna de política até estar explicitamente autorizada.

O Google não confirmou o escopo do rollout, os limites de hardware, ou se um fluxo de consentimento está planejado.