Zenity découvre des failles sans clic dans Claude et ChatGPT Atlas

Des techniques de piratage de navigateurs IA sans clic touchent Claude et ChatGPT Atlas

Des chercheurs en sécurité de Zenity ont dévoilé deux techniques de piratage de navigateurs IA sans clic, capables de détourner l'extension Chrome de Claude d'Anthropic et le navigateur ChatGPT Atlas d'OpenAI. Contrairement aux attaques de phishing classiques qui exigent qu'un utilisateur clique sur un lien malveillant ou ouvre une pièce jointe, ces méthodes fonctionneraient simplement en faisant lire à l'agent IA un email piégé ou une publication X, sans aucune interaction de la part de l'utilisateur, hormis le fait que l'IA fasse ce pour quoi elle a été conçue : naviguer dans du contenu en votre nom.

Cette distinction est importante. Le piratage de navigateurs IA sans clic déplace la surface d'attaque de l'utilisateur humain vers l'agent IA lui-même. Si un assistant a la permission de lire votre boîte de réception, de résumer des pages web ou d'effectuer des actions dans une session de navigateur, tout contenu qu'il rencontre devient un vecteur potentiel d'instructions cachées. Les recherches de Zenity, rapportées par SecurityWeek, montrent que Claude dans Chrome et ChatGPT Atlas étaient tous deux vulnérables à ce type de manipulation.

Comment les attaques fonctionneraient

Les extensions de navigateur IA et les navigateurs dits agentiques comme Atlas sont conçus pour lire, interpréter et agir sur du contenu provenant du web, y compris des emails, des publications sur les réseaux sociaux et du texte intégré dans les pages. Cette fonctionnalité constitue tout l'intérêt de ces outils. Mais cela signifie aussi que l'IA ne peut pas toujours distinguer une instruction légitime de son utilisateur d'une instruction cachée dissimulée dans une page web, un corps d'email ou une publication sur les réseaux sociaux qu'elle est en train de traiter.

Cette catégorie de vulnérabilité est souvent appelée injection de prompt. Un attaquant conçoit un contenu qui semble inoffensif pour un lecteur humain, mais qui contient du texte spécifiquement formulé pour être interprété comme une commande par le modèle d'IA. Lorsque le navigateur ou l'extension IA traite ce contenu dans le cadre d'une tâche courante (résumer un fil d'emails, consulter un site web, parcourir une timeline), il peut être amené à exécuter des instructions que l'utilisateur n'a jamais approuvées.

Selon le rapport, les conclusions de Zenity vont au-delà de deux simples bogues isolés. L'entreprise examine un ensemble plus large de faiblesses dans les navigateurs IA, et ses travaux s'ajoutent à un corpus de recherche croissant qui montre que les outils de navigation agentiques, encore récents sur le marché, font l'objet d'un examen minutieux de leurs lacunes en matière de sécurité avant même que leurs défenses n'aient pleinement mûri. Cela reflète un schéma observé ailleurs dans la sécurité logicielle, où des failles zero-day dans des plateformes de confiance sont exploitées avant que les correctifs ne soient disponibles, comme on l'a vu avec des pirates informatiques soutenus par l'État russe exploitant une faille zero-day de Zimbra pour cibler des comptes de messagerie liés à l'OTAN.

Pourquoi cela est important pour la vie privée

Les assistants de navigation IA sont commercialisés comme des outils de productivité : ils lisent vos emails, résument vos onglets et peuvent même effectuer des actions comme remplir des formulaires ou naviguer sur des sites à votre place. Ce niveau d'accès est précisément ce qui rend le piratage de navigateurs IA sans clic aussi préoccupant du point de vue de la vie privée. Si un attaquant peut détourner le processus de décision de l'IA par le simple biais d'un contenu qu'elle rencontre, il peut potentiellement prendre pied dans tout ce que l'IA a la permission de voir ou de faire, sans jamais avoir besoin que la victime clique sur quoi que ce soit.

Il s'agit d'un modèle de menace fondamentalement différent des attaques par vol d'identifiants ou par diffusion de malware auxquelles la plupart des gens sont habitués à se prémunir. Il ne repose pas sur la tromperie d'une personne, mais sur la tromperie du logiciel qui agit au nom de cette personne. Des dynamiques similaires se sont produites dans d'autres contextes où un logiciel local de confiance devient une cible, comme lorsque un outil de sécurité bancaire coréen légitime a été transformé en vecteur d'attaque par le biais d'une exploitation zero-day. Le point commun : des outils conçus pour aider les utilisateurs peuvent être détournés par des attaquants lorsque leurs frontières de confiance ne sont pas hermétiques.

Ce que cela signifie pour vous

Si vous utilisez des extensions de navigateur IA ou des outils de navigation agentiques comme Claude dans Chrome ou ChatGPT Atlas, cette divulgation est une piqûre de rappel pour réfléchir attentivement aux permissions que vous leur accordez. Ces outils sont puissants précisément parce qu'ils peuvent lire et agir sur du contenu automatiquement, mais cette même automatisation supprime une couche de jugement humain qui servait auparavant de garde-fou naturel contre la manipulation.

Pour l'instant, la réponse pratique est la prudence plutôt que la panique. Limitez l'étendue des accès que vous donnez aux agents de navigation IA, en particulier pour les comptes sensibles comme les emails ou les plateformes financières. Gardez ces extensions et navigateurs à jour, car les éditeurs corrigent généralement les vulnérabilités divulguées une fois que les chercheurs les ont signalées de manière responsable. Et gardez à l'esprit que du contenu provenant d'expéditeurs ou de comptes inconnus, même s'il ressemble à un texte ordinaire, pourrait avoir été conçu pour les yeux d'une IA plutôt que pour les vôtres.

Points clés à retenir

• Le piratage de navigateurs IA sans clic permet à des attaquants de détourner des agents IA comme Claude dans Chrome et ChatGPT Atlas sans aucun clic de la part de l'utilisateur, simplement au moyen d'emails ou de publications sur les réseaux sociaux spécialement conçus.
• La technique exploite la manière dont les agents IA traitent et agissent sur le contenu, une classe de vulnérabilité connue sous le nom d'injection de prompt.
• Examinez et limitez les permissions que vous accordez aux assistants de navigation IA, notamment en ce qui concerne l'accès aux emails et aux comptes.
• Gardez les outils de navigation IA à jour et surveillez les correctifs de sécurité des éditeurs suite à cette divulgation.
• Considérez les agents IA comme un élément supplémentaire de votre surface d'attaque, et pas seulement comme une fonction de confort, lorsque vous évaluez votre posture de confidentialité personnelle ou organisationnelle.