En avril 2026, une équipe de chercheurs de l’Université de Washington s’est présentée devant une salle remplie d’experts en sécurité à Rio de Janeiro et a livré un diagnostic qui devrait inquiéter quiconque a confié sa navigation à un assistant IA. Le problème n’est pas un bug. Il n’y a pas de correctif en vue. La tension traverse directement l’architecture de chaque navigateur propulsé par l’IA sur le marché aujourd’hui.
Un mur ancien, fraîchement démoli
Pour comprendre ce que les chercheurs ont découvert, il faut comprendre la politique de même origine. C’est l’une des règles les plus anciennes et les plus importantes du web, construite pendant plus de 30 ans, couche par couche, en réponse à chaque ver, script intersite et fuite de données que les attaquants lui ont opposés. La règle est simple : le contenu chargé depuis un site web, disons le portail en ligne de votre banque, ne peut pas lire les données chargées depuis un autre site web fonctionnant dans le même onglet du navigateur. Une iframe publicitaire sur un site d’actualités ne peut pas accéder à votre session Gmail. Ce pare-feu invisible est la raison pour laquelle vous pouvez avoir 10 onglets ouverts sans que chacun pille les autres.
Les agents de navigation propulsés par l’IA démolissent ce pare-feu délibérément.
Les chercheurs, David Kohlbrenner, Franziska Roesner et leurs collaborateurs, ont testé sept navigateurs IA : ChatGPT Atlas, Claude pour Chrome, Perplexity Comet, Brave Leo AI, Chrome avec Gemini, Microsoft Edge avec Copilot et Firefox AI Mode. Ce qu’ils ont trouvé est un paysage sécuritaire sans position sûre. Pour être utile, un agent IA doit voir tout ce que l’utilisateur voit. Cela inclut le contenu des iframes multi-origines, des widgets de barre latérale, des publications intégrées sur les réseaux sociaux et des publicités tierces. Sans accès total, l’agent ne peut pas résumer une page, répondre à des questions sur son contenu ou exécuter des tâches complexes. Mais avec un accès total, chaque site visité par l’utilisateur gagne un canal potentiel vers les données de tous les autres sites, acheminé via les permissions de l’agent.
Les deux vecteurs d’attaque
L’équipe de Kohlbrenner a identifié deux moyens concrets par lesquels les attaquants peuvent exploiter cette concession architecturale. Le premier est l’injection de prompts. Une ligne de texte malveillante cachée dans une publicité, un fil de commentaires ou une iframe apparemment inoffensive peut amener l’IA à interpréter des données comme des instructions. L’agent lit le contenu empoisonné, croit recevoir une commande légitime et agit en conséquence, pouvant transmettre des informations sensibles, cliquer sur des liens dangereux ou exécuter des actions que l’utilisateur n’a jamais envisagées.
Ce n’est pas une hypothèse. Les chercheurs ont démontré des attaques par injection fonctionnelles sur plusieurs navigateurs IA. L’agent ne peut pas distinguer entre le contenu que l’utilisateur souhaite analyser et le contenu qui tente activement de le manipuler, car du point de vue de l’agent, les deux ne sont que du texte dans la même vue unifiée de la page.
Le second vecteur est l’empoisonnement de la mémoire. Les agents IA ne traitent pas une page puis l’oublient. Ils stockent des informations en mémoire pour construire un contexte, suivre des tâches et améliorer les réponses futures. Les chercheurs ont découvert que ces agents mélangent systématiquement des informations provenant de différentes origines dans le même espace mémoire. Un extrait de texte d’un site malveillant peut s’entremêler avec des données d’une session bancaire sécurisée. Une fois mélangées, ces données stockées sont vulnérables à l’extraction par une requête ultérieure depuis n’importe quelle origine que l’agent a la permission de lire.
Le piège de l’autonomie
Voici la vérité inconfortable que la présentation de Rio de Janeiro a mise à nu : plus un navigateur IA est utile, plus son profil de sécurité est mauvais. Les produits les plus autonomes de l’étude, ChatGPT Atlas, Claude pour Chrome et Perplexity Comet, étaient aussi les plus vulnérables. Ils offrent une automatisation plus riche, une intégration plus profonde avec les comptes utilisateur et une mémoire plus persistante. Chaque capacité ajoutée élargit la surface d’attaque.
À l’inverse, les navigateurs qui s’en sont mieux sortis dans l’analyse de sécurité sont ceux qui en font moins. Brave Leo AI, Microsoft Edge avec Copilot et Firefox AI Mode ont obtenu des rapports relativement plus propres, mais uniquement parce qu’ils adoptent une approche plus prudente des fonctionnalités autonomes. Ils sont plus sûrs parce qu’ils sont moins ambitieux. Ce n’est pas une solution. C’est un compromis qu’aucune ingénierie n’a encore résolu.
Les entreprises qui investissent massivement dans la navigation IA affirment être conscientes des risques et travailler à des mesures correctives. Mais les chercheurs étaient sceptiques quant à la possibilité de résoudre le problème par l’ingénierie dans l’architecture actuelle des navigateurs.
« Les agents de navigation ne sont pas prêts pour le public », a déclaré Kohlbrenner au public de l’atelier.
Roesner a formulé le défi plus profond en termes de dynamique concurrentielle. « Les entreprises lancent ces navigateurs parce qu’elles sont sous pression concurrentielle. Mais comment les rendre sûrs reste une question ouverte. »
Une contradiction structurelle
Le problème central n’est pas que les ingénieurs n’ont pas réussi à implémenter correctement l’assainissement des prompts ou que l’isolation mémoire a besoin d’un schéma de chiffrement plus solide. C’est que la conception fondamentale des agents de navigation IA contient une contradiction. Pour agir sur le web, un agent a besoin d’une permission de lire et d’écrire à travers les mêmes frontières que 30 ans d’ingénierie de sécurité ont été construites pour imposer. Vous ne pouvez pas donner à un agent l’autonomie, la capacité de prendre des décisions et d’exécuter des actions au nom de l’utilisateur, sans lui donner aussi l’accès que cette autonomie exige. Et vous ne pouvez pas lui donner cet accès sans démanteler la politique de même origine qui a empêché le web de sombrer dans le chaos.
C’est ce que les chercheurs veulent dire quand ils affirment que le problème est architectural. Ce n’est pas un défaut dans une implémentation spécifique qui peut être corrigé dans une version mineure. C’est une tension entre l’autonomie et le confinement qui est intégrée dans la définition même de ce qu’un navigateur IA est censé faire.
Les courriels, le calendrier, le compte bancaire et les dossiers médicaux de l’utilisateur vivent tous sur des origines différentes. Un agent vraiment utile doit lire à partir de tous pour planifier des rendez-vous, suivre des dépenses ou résumer des communications. Mais dès que l’agent peut lire à travers les origines, il devient aussi un vecteur potentiel pour que les données circulent de la banque vers le réseau publicitaire, contournant toutes les frontières de sécurité que l’utilisateur croyait en place.
Et ensuite
Kohlbrenner, Roesner et leur équipe ont publié les résultats complets sous le titre « Security Analysis of AI-Powered Web Browsing Agents », présenté à l’atelier Agents in the Wild à Rio de Janeiro le 26 avril 2026. L’article n’offre pas de correctif et les auteurs ne prétendent pas en avoir un. Il catalogue le problème avec précision et laisse l’industrie se débattre avec les implications.
Les mesures d’atténuation proposées incluent des agents en bac à sable avec des espaces mémoire par origine, une confirmation explicite de l’utilisateur pour les actions inter-origines et de nouvelles API de navigateur pour l’accès structuré aux données. Mais chaque approche réduit l’utilité de l’agent. Le compromis est inévitable.
La question d’intérêt public est de savoir si le marché permettra aux entreprises de reculer suffisamment longtemps des fonctionnalités autonomes agressives pour construire quelque chose de sûr. La pression concurrentielle décrite par Roesner ne s’atténue pas. Chaque grand éditeur de navigateur livre désormais un assistant IA, et chacun fait la course pour ajouter plus de capacités. Le navigateur IA le plus sûr sur le marché aujourd’hui est celui qui en fait le moins, mais ce n’est pas le produit que les équipes marketing veulent vendre.
La présentation de Rio de Janeiro ne s’est pas terminée par une solution, mais par un avertissement. La politique de même origine a mis trois décennies à se durcir. Les navigateurs IA l’ont désactivée en trois ans. Et personne n’a encore trouvé comment la reconstruire tout en gardant l’intelligence à l’intérieur.
Référence
Kohlbrenner, D., Roesner, F. et al. « Security Analysis of AI-Powered Web Browsing Agents. » Agents in the Wild Workshop, Rio de Janeiro, avril 2026.
Traduit par Lydie