Les agents de navigation pilotés par l’IA promettent d’automatiser des tâches web avec une grande fluidité. Pourtant, une révélation récente de Zenity met en lumière un angle mort : le hacking de navigateurs IA peut exploiter des mécanismes conçus pour “agir” sur des sessions authentifiées, au lieu de se limiter à des failles de logiciels classiques.
Dans ses analyses, l’entreprise décrit deux chaînes d’attaque visant des contextes différents : une attaque contre ChatGPT Atlas (un agent navigateur) basée sur une injection indirecte, et une attaque contre l’extension officielle Claude dans Chrome combinant structures de prompts invisibles et exécution de code via des dépendances compromises. Les conséquences évoquées sont concrètes : prise de contrôle de comptes, phishing et même achats non autorisés.
Pourquoi le hacking de navigateurs IA est différent
Les attaques traditionnelles ciblent souvent une vulnérabilité logicielle précise. Ici, le problème apparaît plus structurel. Zenity explique que certains agents de type navigateur ne se contentent pas d’afficher des pages : ils lisent le contenu web et exécutent des actions à travers des domaines tout en conservant l’état de session.
Concrètement, cette approche peut “réactiver” des comportements proches de ce que la sécurité web cherche normalement à empêcher. Là où la politique Same-Origin (SOP) limite l’accès entre sites, l’agent peut, par conception, opérer comme une entité unique sur plusieurs onglets authentifiés. Résultat : des instructions déposées sur une page non fiable pourraient influencer des actions sur d’autres sites où l’utilisateur est connecté.
ChatGPT Atlas détourné via une injection indirecte
Dans le premier scénario, Zenity décrit une faiblesse qualifiée de zero-click indirect prompt injection (IPI). L’idée n’est pas d’exécuter un script évident, mais de créer une collision d’intentions : l’agent interprète une requête légitime de l’utilisateur comme devant suivre un élément “planté” sur le web.
Selon les chercheurs, une seule intervention suffit : un commentaire soigneusement préparé sur un fil de discussion X. Lorsque la victime demande à Atlas de réaliser une tâche anodine, l’agent peut être redirigé vers une page de charge malveillante, puis continuer ses actions dans un contexte déjà authentifié.
Exemple : phishing via WhatsApp Web
Zenity présente un cas où l’utilisateur demande à Atlas de s’inscrire à une newsletter depuis un post sur X. Le commentaire malveillant agit comme point d’ancrage : Atlas est amené sur une page contrôlée par l’attaquant, puis effectue une navigation vers WhatsApp Web.
Une fois l’interface atteinte, l’agent peut lire la liste de contacts et envoyer des messages de phishing à chaque contact. L’impact n’est pas seulement le vol de données : la machine devient un relais pour amplifier une campagne d’arnaque, sans que l’utilisateur ait explicitement lancé ces actions.
Exemple : achats Amazon et contournement du bouton final
Dans un second scénario, les chercheurs montrent une trajectoire jusqu’à Amazon : ajout d’articles au panier puis modification de l’adresse de livraison vers l’emplacement de l’attaquant.
Le point intéressant concerne le contournement des garde-fous. Pour éviter de cliquer directement le bouton final d’achat, l’agent instructe l’assistant IA intégré à Amazon, nommé Rufus, de finaliser la commande. Ainsi, l’agent cherche à “déléguer” l’étape bloquante à un autre composant, tout en conservant le contrôle de l’objectif.
Le problème des correctifs “simples”
Zenity indique avoir communiqué ces constats à OpenAI en janvier 2026. Même si le rapport a été reconnu, l’entreprise souligne qu’il n’existe pas de solution immédiate facilement déployable.
Pourquoi ? Parce que l’exploit s’appuie sur une capacité centrale et intentionnelle : la capacité de l’agent à lire du contenu web et à agir de manière transdomaines au sein de sessions authentifiées. Autrement dit, réduire le risque sans casser l’usage principal constitue un défi difficile.
Claude dans Chrome : escalade vers la prise de contrôle
Zenity décrit aussi une attaque zero-click dirigée contre l’extension officielle de Claude dans Chrome. Ici, le vecteur mêle des “structures” de prompts invisibles à des techniques visant à élever le niveau de permissions de l’agent dans des sessions déjà actives.
Le cœur de la chaîne consiste à abuser de la manière dont l’agent interprète une demande apparemment banale. Par exemple, selon les scénarios fournis, la victime reçoit un email malveillant contenant des instructions cachées. Ensuite, le fait de demander simplement à Claude de résumer les derniers emails pousse l’agent à traiter ces instructions invisibles comme des commandes.
Quand les protections sont contournées par des dépendances
Les mécanismes de sécurité devraient, en théorie, empêcher l’exécution directe de scripts malveillants. Zenity explique toutefois qu’un attaquant peut contourner ce verrou en hébergeant des paquets NPM sur un CDN contrôlé.
L’agent est ainsi amené à appeler une dépendance “inoffensive” en apparence. En réalité, le code payload s’exécute silencieusement. Cette étape est cruciale : elle transforme une tentative de manipulation de prompts en une capacité d’exfiltration et de contrôle.
Exfiltration d’emails Gmail et partage de fichiers
Une fois l’exploit opérationnel dans le contexte des cookies de session, le scénario d’attaque vise Gmail. Le script interroge le flux Atom, extrait les identifiants des messages, puis récupère le contenu complet des emails. Ensuite, il transmet ces informations au serveur de l’attaquant.
Zenity indique également que l’attaquant peut, sans alerte, partager les fichiers du Google Drive de la victime avec un compte qu’il contrôle. Autrement dit, l’impact ne se limite pas à la lecture : il s’étend à la reconfiguration des accès.
Vers le piratage de comptes : Slack et X
Au-delà de Gmail et Drive, les chercheurs décrivent une prise de contrôle possible sur Slack et X. Le principe est de s’appuyer sur l’état d’authentification de la session active.
Dans ce contexte, un attaquant peut déclencher un processus de connexion ou une réinitialisation de mot de passe, puis faire en sorte que l’agent surveille Gmail pour récupérer les codes de vérification. Ces codes sont ensuite relayés afin de finaliser le détournement de session.
Ce mécanisme illustre bien la logique du hacking de navigateurs IA : l’agent n’a pas besoin d’obtenir directement le mot de passe. Il peut simplement utiliser les flux de validation déjà exposés dans la boîte email, tant que la session et les permissions le permettent.
Déclarations et classification des recherches
Zenity précise avoir rapporté ces éléments à Anthropic en décembre 2025 et janvier 2026. Les informations ont été classées comme “informative”, un statut qui indique que la divulgation vise principalement à sensibiliser et documenter des risques.
Le fil de publication s’inscrit dans une dynamique plus large : d’autres articles cités en lien évoquent des failles d’accès admin, des scénarios de compromission lors de tests de sécurité, et l’élaboration de lignes directrices pour partager des incidents liés à l’IA.
Ce que les utilisateurs peuvent faire (sans solutions miracles)
Face à ce type de risque, l’objectif n’est pas de “verrouiller” les agents à la perfection, mais de réduire les surfaces d’attaque. Sans entrer dans des promesses irréalistes, quelques pratiques peuvent limiter l’exposition :
- Limiter les actions demandées à un agent : demander des tâches simples et courtes plutôt que des enchaînements longs.
- Se méfier des interactions web déclenchées par des contenus externes (publications, commentaires, messages) qui peuvent manipuler l’intention.
- Surveiller les comptes : alertes sur connexions inhabituelles, emails de récupération, et modifications inattendues dans les services liés.
- Réduire les sessions persistantes lorsque c’est possible, car les scénarios décrits s’appuient sur des cookies actifs.
En parallèle, côté éditeurs et intégrateurs, le défi est de concilier l’utilité des agents transdomaines et la robustesse contre les manipulations. Les constats de Zenity montrent que ce compromis ne se joue pas uniquement dans du “durcissement” de scripts : il touche l’architecture même de la façon dont l’agent interprète et exécute les signaux web.
Conclusion : comprendre le hacking de navigateurs IA pour mieux se protéger
Le hacking de navigateurs IA décrit par Zenity n’est pas un simple rappel que “des bots peuvent tomber dans des pièges”. Il révèle plutôt une réalité : quand un agent conserve un contexte de session et agit entre plusieurs sites, une manipulation subtile peut mener à des actions à forte conséquence—phishing, exfiltration de contenus et piratage de comptes.
À mesure que ces outils deviennent plus autonomes, la sécurité doit évoluer avec une approche qui considère l’agent comme un acteur complet, pas seulement comme une interface. En attendant des remédiations plus robustes, la meilleure première défense reste la vigilance sur les permissions, les sessions et la nature des contenus déclencheurs.
