Auteure : Katie Boquetti | Éditeur : Craig Taylor
« Le pouvoir tend à corrompre, et le pouvoir absolu corrompt absolument. » Lord Acton écrivait cela en 1887 à propos des rois et des papes , et cette observation a remarquablement bien vieilli. Mais son avertissement présuppose que les puissants possèdent un caractère susceptible de corrompre . L'IA, elle, n'en possède pas. Elle n'a ni avidité à tenter, ni ego à flatter, ni glissement lent et inconscient vers l'erreur. Voici une version actualisée de l'observation de Lord Acton pour notre ère des agents d'IA : « L'IA n'a pas besoin d'être corrompue pour nuire. Donnez-lui le pouvoir absolu, et il lui suffit d'avoir tort. »
Amener une IA à se tromper ne requiert ni des années de tentation, ni un pouvoir absolu. Un simple texte suffit . Un fonctionnaire peut se corrompre avec le temps, un pouvoir sans contrôle et des persuasions subtiles ; un agent IA compromis a besoin d'un seul paragraphe bien rédigé. Ce paragraphe peut être dissimulé dans un courriel que votre IA est invitée à résumer. Il peut être glissé dans un fichier README ou Markdown que votre assistant de programmation lit avant de se mettre au travail. Il peut s'agir d'un texte invisible, blanc sur fond blanc, sur une page web que seule la machine peut voir. Les experts en sécurité appellent cela une injection de prompt , et cela fonctionne car les agents IA ont du mal à distinguer vos instructions de celles qui imitent simplement votre style.
Maintenant, aggravons les choses ! Accordez à l’IA des autorisations bien plus étendues que nécessaire. Exécutez-la dans un navigateur intégré dépourvu de nombreuses protections que Chrome, Edge, Firefox et Opera ont acquises au fil des années grâce à un renforcement constant de leur sécurité. Dès lors, une seule phrase malveillante peut suffire à compromettre votre ordinateur.
Le rappel de sécurité de cette semaine nous est parvenu d'un messager inattendu : quelque chose que vous avez installé vous-même – une extension de navigateur.
— Craig
Les extensions de navigateur peuvent être très utiles. Elles peuvent corriger votre grammaire, enregistrer vos coupons et bloquer les publicités ou messages indésirables provenant de sites web. Récemment, des chercheurs en sécurité indépendants ont testé et signalé un risque lié aux connexions entre l'IA et les extensions de navigateur. Le 6 novembre 2026, Hacker News a publié un article sur une étude prouvant qu'un assistant IA installé sur l'ordinateur de l'utilisateur pouvait exécuter du code arbitraire.
Ces recherches proviennent de Forever Security, sous la direction technique du chercheur Gal Weizman. Bonne nouvelle : cette faille n’a encore jamais été exploitée lors d’une attaque réelle, et la solution consiste simplement à vérifier et nettoyer la barre d’outils de votre navigateur en quinze minutes.
Les chercheurs ont testé Claude Dispatch, une fonctionnalité d'Anthropic permettant d'envoyer des tâches de son téléphone à l'application Claude Desktop sur ordinateur. Dispatch faisait confiance à toute session ouverte sur le site web claude.ai. Une extension autorisée à exécuter des scripts sur claude.ai pouvait envoyer des instructions à l'application de bureau comme si l'utilisateur les avait saisies lui-même.
Voici comment s'est déroulé le test.
Aucune modification du navigateur n'était nécessaire. L'extension utilisait des autorisations déjà accordées par l'utilisateur. Avec les mêmes accès, un attaquant pourrait copier des fichiers ou installer une porte dérobée.
Pour que cela fonctionne, plusieurs conditions devaient être réunies : être connecté à la fois à claude.ai et à Claude Desktop, avoir activé Dispatch et laisser l’ordinateur allumé avec l’application ouverte.
Cette leçon a une portée qui dépasse le cadre de cette seule capacité d'IA. En effet, Anthropic a confirmé ce problème en mai 2026 après l'avoir découvert par elle-même, et Dispatch est désormais fermé aux nouveaux utilisateurs et son retrait est prévu. Les chercheurs indiquent qu'une conception similaire se retrouve dans d'autres outils d'IA à distance, notamment Claude Code Remote Control et les sessions Claude Cowork. Ils n'ont pas encore testé ces outils et prévoient de publier un rapport complémentaire.
Les agents IA agissent désormais en votre nom. Ils ouvrent des fichiers, installent des logiciels et se connectent à d'autres services. Tout élément capable de communiquer avec votre agent IA bénéficie des mêmes autorisations. Une extension de navigateur ayant accès au site web où votre assistant IA s'exécute obtient un accès bien plus étendu qu'une simple page web.
Ce problème est particulièrement ressenti par les petites équipes. Les employés installent souvent eux-mêmes des extensions, et leurs comptes personnels se retrouvent sur leurs ordinateurs portables professionnels. Des chercheurs ont même découvert des comptes personnels reliant des ordinateurs personnels à des ordinateurs portables professionnels chez leurs propres clients.
Voici une courte liste de vérification et un rappel dans votre calendrier pour sécuriser votre navigateur et votre ordinateur.
Consacrez quinze minutes cette semaine à un nettoyage des barres d'outils de votre équipe. Demandez-leur d'ouvrir leur liste d'extensions, de les examiner et de supprimer celles qu'ils n'utilisent pas, puis de partager leur extension préférée. Ajoutez les extensions conservées à une liste partagée et approuvée. Vous repartirez avec des navigateurs plus propres, une nouvelle habitude d'équipe et une petite victoire en matière de sécurité à célébrer.
La plateforme de renforcement positif de CyberHoot propose de courtes vidéos de formation et des tests d'hameçonnage sans tromperie pour aider votre équipe à acquérir de solides habitudes comme celle-ci, une petite victoire à la fois.
Riez, apprenez et faites du bruit !
Qu'est-ce qu'une extension de navigateur ?
Une extension de navigateur est un petit module complémentaire qui ajoute des fonctionnalités à votre navigateur, comme la correction orthographique, le remplissage automatique des mots de passe ou le blocage des publicités. Les extensions s'exécutent au sein de votre navigateur et peuvent accéder aux pages que vous consultez.
Dois-je cesser d'utiliser les assistants IA ?
Non. Les outils d'IA permettent de gagner du temps et d'être plus productif. Considérez-les comme n'importe quel autre logiciel ayant accès à votre ordinateur et désactivez les fonctionnalités inutilisées.
Comment choisir des extensions sûres ?
Installez les extensions depuis la boutique officielle de votre navigateur, privilégiez celles qui sont réputées et bien notées, et vérifiez les autorisations avant de les installer. Supprimez toute extension dont la mise à jour demande des autorisations supplémentaires sans raison apparente.
Quelqu'un a-t-il déjà été attaqué de cette manière ?
Les chercheurs n'ont signalé aucune attaque en situation réelle. Leur test était une preuve de concept visant à identifier rapidement le problème afin que les fournisseurs puissent corriger ces failles et que les utilisateurs aient le temps de réagir.
Que dois-je faire si j'utilise Dispatch ?
Désactivez la fonction Dispatch multi-appareils si vous n'en avez pas besoin. Si vous l'utilisez, vérifiez les appareils associés et supprimez toute extension ayant accès à claude.ai dont vous n'avez pas besoin.
Actualités des hackers : Des extensions de navigateur malveillantes pourraient utiliser Claude Dispatch
Découvrez et partagez les dernières tendances, conseils et meilleures pratiques en matière de cybersécurité, ainsi que les nouvelles menaces à surveiller.
Auteure : Katie Boquetti | Éditorial : Craig Taylor Éditorial de Craig Taylor : « Le pouvoir tend à corrompre… »
Lire la suite
Auteure : Katie Boquetti | Éditorial : Craig Taylor Éditorial de Craig Taylor : Depuis des années, nous nous entraînons…
Lire la suite
La plupart des tests d'hameçonnage trompent vos employés. Celui-ci dit bonjour d'emblée ! HootPhish annonce clairement la couleur : ceci est…
Lire la suiteAyez une vision plus précise des risques humains, grâce à une approche positive qui surpasse les tests de phishing traditionnels.
