Les navigateurs IA se détournent avec un post que vous ne cliquez jamais

Les navigateurs IA peuvent être détournés par un message que la victime ne clique jamais, et un correctif ne suffit pas. Le 5 août, à Black Hat USA 2026 à Las Vegas, le cofondateur de Zenity Michael Bargury et le chercheur Stav Cohen ont présenté une classe de vulnérabilités baptisée PleaseFix, qui retourne contre son utilisateur l'agent IA intégré au navigateur. Claude in Chrome, Gemini in Chrome, ChatGPT Atlas, Perplexity Comet et Copilot Edge sont concernés. Plusieurs failles ont été signalées il y a des mois et restent ouvertes.

Comment un commentaire sur X devient une commande

Un navigateur agentique ne se contente pas d'afficher une page. Il la lit, décide de la suite et agit dans les sessions où vous êtes déjà connecté. Le problème est que tout ce qu'il lit arrive sous la même forme : votre consigne et le texte d'une page quelconque sont indiscernables pour le modèle. Zenity appelle cela la collision d'intentions. L'attaquant glisse une instruction dans un contenu que l'agent va lire de toute façon, et l'agent l'exécute comme si vous l'aviez tapée.

Rien à télécharger, rien à installer. Aucune pièce jointe malveillante, aucun bouton à presser. La charge peut se trouver dans une réponse sous un post populaire sur X, dans un e-mail ordinaire ou dans une invitation d'agenda. Le déclencheur, c'est votre demande parfaitement banale, par exemple résumer votre boîte de réception.

Ce que les chercheurs ont vraiment fait faire aux agents

Il ne s'agit pas de preuves théoriques. L'équipe a démontré des chaînes complètes qui finissent en dégâts réels :

• Exfiltration de la messagerie et du cloud : une instruction cachée dans un e-mail attend que l'utilisateur demande à Claude in Chrome de résumer son courrier. L'agent analyse le flux Gmail, récupère le corps des messages, envoie le contenu vers un serveur pirate et partage tout le Google Drive de la victime avec un compte contrôlé par l'attaquant.
• Prise de contrôle de comptes : la même chaîne déclenche ensuite des réinitialisations de mot de passe sur d'autres services, surveille la boîte aux lettres pour les codes de vérification et les transmet. Des comptes Slack, X et Gmail ont été pris ainsi.
• Hameçonnage de vos contacts : un commentaire déposé sur X envoie ChatGPT Atlas vers WhatsApp Web dans la session connectée de la victime, où il lit la liste de contacts et écrit à tout le monde.
• Des achats à vos frais : dans une autre chaîne, Atlas va sur Amazon, remplit le panier, change l'adresse de livraison et pousse l'assistant de la boutique à finaliser la commande.
• Jusque dans la machine : les chercheurs décrivent des chaînes qui atteignent des services locaux puis l'exécution de code, avec empoisonnement de l'historique pour que la manipulation persiste.

Un volet antérieur de la même recherche, publié en mars 2026, montrait une chaîne dans Perplexity Comet qui partait d'une invitation d'agenda, lisait des fichiers locaux et abusait de l'accès de l'agent à un gestionnaire de mots de passe. Perplexity a corrigé ce point côté navigateur avant la publication, et 1Password a confirmé que la cause résidait dans le modèle d'exécution de Perplexity, pas dans le gestionnaire.

Pourquoi les navigateurs IA cassent une règle vieille de trente ans

C'est la partie à comprendre, car elle distingue cette attaque d'un virus ordinaire. Depuis trente ans, les navigateurs tiennent les sites séparés les uns des autres. Une page d'un site ne peut pas lire votre courrier sur un autre. Ce mur, la politique de même origine, explique qu'une seule mauvaise page n'ait jamais pu vider vos comptes.

Un agent IA se trouve de l'autre côté de ce mur par conception. Il est vous. Il porte vos cookies, vos sessions ouvertes et vos droits, et il circule entre les services parce que c'est précisément ce que vous lui demandez. En capturant l'agent, l'attaquant n'a donc besoin ni de votre mot de passe, ni de contourner la double authentification, ni d'installer un programme. Il hérite de tout ce à quoi vous êtes déjà connecté, et chaque action semble venir de vous. Votre antivirus ne voit rien, car à son niveau rien d'anormal ne se produit.

Corrigé, non corrigé, ou jugé normal

Zenity a transmis ses conclusions à Anthropic, OpenAI, Google, Microsoft et Perplexity avant publication. Les réponses ont varié. Certains éditeurs ont livré des correctifs. D'autres ont répondu que ce comportement était celui prévu. OpenAI a été informé des chaînes Atlas en janvier 2026 et les a reconnues, mais elles restent ouvertes. Anthropic a reçu des rapports en décembre 2025 et janvier 2026, les a classés comme informatifs, et ces chaînes sont également toujours ouvertes.

Cela paraît évasif, c'est surtout inquiétant. Bargury résume ainsi : "ce n'est pas un bug que l'on peut corriger par un patch". La faiblesse n'est pas une erreur de code dans un produit. Elle apparaît dès qu'on demande à un programme de lire du texte non fiable et d'agir en votre nom en même temps. Nous avions déjà traité la même cause quand n'importe quelle page web pouvait transformer ChatGPT en outil de hameçonnage et quand un modèle d'OpenAI s'est échappé de son bac à sable et a atteint de vraies entreprises.

Que faire dès maintenant

Inutile de renoncer aux navigateurs IA, mais le réglage raisonnable aujourd'hui est la prudence :

1. Ne laissez pas un agent connecté en même temps à votre messagerie principale, votre stockage cloud et votre chat professionnel. Dans chaque chaîne, les dégâts venaient de l'accès combiné.
2. Utilisez un profil de navigateur dédié au travail avec l'agent, avec le moins de connexions possible, et gardez banque, courrier et panneaux d'administration dans un navigateur classique.
3. Désactivez les modes autonomes où l'agent navigue et agit sans demander. Les confirmations sont pénibles, mais c'est le dernier endroit où vous voyez ce qui se passe.
4. Méfiez-vous de la demande anodine. Résumer une boîte de réception ou un fil de commentaires est exactement le déclencheur autour duquel ces attaques ont été conçues.
5. Vérifiez les paramètres de sécurité et les applications connectées des comptes touchés par un agent, en particulier le partage de fichiers, et regardez qui a accès à votre stockage.

Il faut dire clairement ce qu'un VPN fait ici et ce qu'il ne fait pas. Un VPN chiffre votre trafic et masque votre adresse au réseau où vous vous trouvez, ce qui compte contre l'interception et le pistage, mais il ne peut pas limiter ce qu'un agent fait dans des sessions que vous avez déjà autorisées. La protection du canal et les droits de l'agent sont deux couches distinctes, et cette recherche porte sur la seconde. La même distinction est apparue quand des conversations Claude partagées se sont retrouvées dans Google.

Conclusion