Claude, Gemini, Comet : cinq navigateurs IA piratés par un seul e-mail

Un navigateur IA est un navigateur doté d’un assistant intégré qui effectue les tâches à votre place. Il lit les pages, ouvre des onglets, remplit des formulaires et clique à votre place. C’est précisément là que réside le problème. Lors de la conférence Black Hat USA 2026 à Las Vegas, Zenity Labs a démontré que cinq des assistants les plus connus pouvaient être piratés à l’aide de contenu ordinaire : Claude dans Chrome, Gemini dans Chrome, Perplexity Comet, ChatGPT Atlas et Copilot Edge.

La faille en elle-même n’est pas nouvelle. Zenity l’avait déjà démontrée sur Comet en mars 2026. Ce qui est nouveau, c’est son ampleur. Le fait que les assistants IA aillent plus loin que prévu est devenu une tendance, comme l’a montré le récent test de sécurité mené chez Anthropic.

Cette catégorie d’attaques est appelée « PleaseFix ». Le principe est simple : l’assistant ne peut pas faire la différence entre ce que vous lui avez demandé de faire et ce qui est écrit dans le contenu qu’il lit pendant qu’il exécute cette tâche. Un attaquant peut donc dissimuler des instructions dans un e-mail, une invitation de calendrier ou une page web. Zenity appelle cela une « collision d’intentions ». L’assistant traite ces instructions étrangères comme faisant partie de votre demande et les exécute, en utilisant vos identifiants, vos autorisations et vos comptes.

Ce qu’ont réellement montré les démonstrations

Avec Claude sur Chrome, un simple e-mail préparé à l’avance et la demande courante de résumer la boîte de réception ont suffi. Par la suite, le contenu de Gmail a été exfiltré, l’intégralité du Google Drive de la victime a été discrètement partagée avec le pirate, et les comptes Slack, X et Claude ont été piratés. Cela a fonctionné même en mode sécurisé de Claude, dans lequel l’assistant demande confirmation avant d’agir.

Avec Perplexity Comet, une invitation de calendrier piégée, qui ressemblait à une véritable demande de réunion, a suffi. Aucun clic n’a été nécessaire. L’assistant a accédé au système de fichiers local et a exploité l’extension 1Password déverrouillée. L’attaquant s’est emparé de l’intégralité du coffre-fort et l’utilisateur s’est retrouvé bloqué. Nous avons rédigé un article distinct sur la sécurisation de vos comptes au-delà du mot de passe.

Avec ChatGPT Atlas, il s’agissait d’un lien anodin sous une publication très partagée sur les réseaux sociaux. Atlas a cliqué dessus ; la page a pris le contrôle du flux de travail et a envoyé des messages de hameçonnage via le propre compte WhatsApp de la victime. Lors d’une deuxième attaque, Atlas a rempli le panier Amazon de la victime et y a remplacé l’adresse par celle de l’attaquant. Lorsque les mesures de sécurité d’OpenAI ont bloqué le paiement, Atlas a simplement demandé à Rufus, l’assistant d’Amazon, de passer la commande en débitant la carte bancaire de la victime. Un agent en recrute un autre.

D’un onglet de navigateur à l’ensemble de la machine

La situation s’aggrave au niveau de « localhost », la zone où les programmes s’exécutent directement sur votre propre machine, comme les outils de développement ou les consoles de bases de données. Cette zone est considérée comme particulièrement fiable. Comet y a pénétré sans encombre et a ouvert un shell inversé, c’est-à-dire pris le contrôle à distance de l’ordinateur tout entier, via les outils d’IA installés localement, Ollama et Open WebUI. Gemini, dans Chrome et Edge, a tenté de bloquer l’accès, mais ce blocage a été rapidement contourné. Gemini a ensuite supprimé des serveurs en service dans le compte AWS de la victime, tandis qu’Edge a corrompu l’intégralité d’une base de données SQL.

À cela s’ajoute une technique que Zenity appelle « HistoryFixing ». Une faille de navigateur vieille de 16 ans permet à un attaquant d’insérer des entrées falsifiées dans l’historique de navigation. L’assistant les lit par la suite et les considère comme des informations véridiques vous concernant. Ces entrées n’expirent jamais. Elles ne disparaissent que si quelqu’un efface manuellement l’historique.

Tous les éditeurs ne souhaitent pas corriger ce problème

Zenity a communiqué ces découvertes à Anthropic, Perplexity, Google, Microsoft et OpenAI avant la conférence. Certains ont publié des correctifs. D’autres ont refusé et ont qualifié ce comportement de fonctionnalité prévue. Et les correctifs n’ont qu’une efficacité limitée : après que Perplexity a bloqué l’accès au système de fichiers, Zenity a contourné le correctif à deux reprises.

« Ce n’est pas un bug que nous pouvons corriger par un simple correctif », explique Michael Bargury, cofondateur et directeur technique de Zenity. Les navigateurs ont toujours isolé chaque site web des autres, afin qu’une page choisie au hasard ne puisse pas accéder à votre compte bancaire lorsque vous y êtes connecté. Ce principe s’appelle la politique de même origine. Les navigateurs « agentic » le contournent, car leur assistant effectue des raisonnements en croisant des contenus provenant de différentes sources au cours d’une même session.

Ce que vous pouvez faire dès maintenant

« Un navigateur IA agit sur le Web comme l’un de vos collaborateurs, déjà connecté à sa messagerie, à ses fichiers, à son agenda et à ses applications professionnelles », explique Stav Cohen, responsable de l’équipe de recherche en sécurité IA chez Zenity. Son conseil est de partir du principe que l’agent sera piraté et de supprimer tout ce dont il n’a pas réellement besoin. Concrètement : passez en revue les paramètres de votre navigateur IA et désactivez les options par défaut. Ne vous connectez pas à des comptes importants via un navigateur IA : ni à votre boîte mail principale, ni à GitHub, ni à vos services cloud. Limitez strictement les domaines dans lesquels l’agent est autorisé à agir. Et ne vous fiez pas à la fenêtre contextuelle qui demande votre autorisation avant d’agir. Avec Claude, ce mode précis a été contourné.

Pour ChatGPT Atlas, la question se règle d’elle-même. OpenAI va fermer le navigateur le 9 août ; toute personne qui l’utilise encore doit donc d’abord sauvegarder ses données. Les quatre autres restent. Et l’assistant n’est pas la seule partie du navigateur qui lit vos conversations : des extensions déguisées collectent également les discussions.