« Ils ne sont pas prêts pour le grand public » : des chercheurs alertent sur les failles de sécurité des navigateurs IA

Les navigateurs Internet basés sur l’IA comporteraient une faille de sécurité exposant les données personnelles des utilisateurs, selon une étude. Contrairement aux navigateurs classiques, ils disposeraient d’un aperçu complet de tous les onglets ouverts et pourraient interpréter à tort des codes malveillants provenant de sites non sécurisés et partager des données personnelles de l’utilisateur. Plus les capacités de l’agent et les autorisations qui lui sont accordées sont étendues, plus le risque d’exposition peut augmenter.

Les navigateurs IA ou les navigateurs dotés de fonctionnalités IA deviennent toujours plus populaires. Ils fonctionnent globalement comme les navigateurs classiques, mais disposent en plus de fonctionnalités d’agent conversationnel. Ainsi, ils peuvent synthétiser et résumer les contenus de plusieurs sites web sur un thème spécifique et automatiser certaines tâches répétitives à la demande des utilisateurs.

Autrement dit, ces navigateurs Internet d’un nouveau genre disposent de fonctionnalités assimilables à celles de véritables agents virtuels. Un utilisateur pourrait par exemple demander à ces navigateurs de planifier un voyage. Avec cette simple demande formulée en une phrase ou en quelques mots-clés, il peut ouvrir automatiquement des onglets de recherche d’itinéraires, de restaurants et d’hébergement, puis effectuer des réservations et ajouter les événements au calendrier virtuel de l’utilisateur.

Alors qu’avec un navigateur classique, il est nécessaire de consulter les onglets un par un pour effectuer un achat ou une réservation, le navigateur IA accélère le processus en sélectionnant directement les préférences de l’utilisateur et en validant l’achat à sa place. La qualité des prestations est cependant variable selon les navigateurs, voire risquée.

Alerte sur des vulnérabilités encore mal maîtrisées

Une étude présentée au mois d’avril lors de l’atelier de recherche « Agents in the Wild », à Rio de Janeiro (Brésil), met en garde contre le fait que certains navigateurs IA comportent une faille de sécurité liée à la protection des données personnelles des utilisateurs.

« Les agents [IA] de navigateur ne sont pas prêts pour le grand public », a déclaré David Kohlbrenner, co-auteur de l’étude et professeur adjoint d’informatique et d’ingénierie à l’Université de Washington, dans un communiqué.

« Même si vous êtes un utilisateur relativement averti, si ces agents ont accès à un navigateur contenant vos identifiants (votre adresse e-mail, votre compte bancaire, etc.), vous ne devez pas croire que ces systèmes sont capables de protéger efficacement vos informations. Ils y parviendront peut-être un jour, mais ce n’est pas encore le cas. »

Les navigateurs Internet standards s’appuient sur un protocole de sécurité appelé « politique d’origine identique ». Ce système empêche les sites web visités simultanément par un utilisateur d’interagir entre eux et d’échanger des informations. Par exemple, si un utilisateur ouvre un onglet pour le site web de sa banque et un autre contenant un programme malveillant, la politique d’origine identique empêchera l’un d’utiliser les informations de l’autre.

Les navigateurs IA peuvent cependant accéder à tous les onglets ouverts simultanément et peuvent consulter les informations contenues dans plusieurs sites web à la fois. Autrement dit, ces navigateurs disposent d’une visibilité comparable à celle de l’utilisateur humain. L’objectif de la recherche était de déterminer les implications de cette capacité de vue d’ensemble sur la protection des données des utilisateurs.

Pour ce faire, Kohlbrenner et ses collègues ont analysé les comportements de sept navigateurs IA : ChatGPT Atlas, Claude pour Chrome, Brave Leo AI, Chrome avec Gemini, Microsoft Edge avec Copilot, Firefox AI Mode et Perplexity Comet. Ils ont étudié les informations auxquelles les navigateurs pouvaient accéder à partir de sites web de même origine et d’origines différentes, les actions que chacun pouvait entreprendre, ainsi que le contexte et l’historique des conversations des agents conversationnels.

Le délicat équilibre entre capacités des agents et protection des données

En menant une cyberattaque de démonstration avec ChatGPT Atlas, les chercheurs sont parvenus à lui faire exfiltrer des informations depuis un site web. Cela serait comparable au fait qu’un pop-up publicitaire apparaissant sur un site de messagerie propage un code malveillant permettant de diffuser les informations sensibles contenues dans les messages de l’utilisateur.

Des capacités similaires ont été observées avec Chrome avec Gemini, Claude pour Chrome et Perplexity Comet. Les navigateurs accordant moins d’autorisations aux agents se sont généralement révélés plus sûrs. « Dans une certaine mesure, il s’agit des mêmes attaques que celles que l’on mènerait contre un humain, mais adaptées aux machines », explique Kohlbrenner. « Les mesures de sécurité des agents d’IA évoluent, mais elles restent vulnérables à des attaques auxquelles les utilisateurs humains ne se laisseraient pas prendre. »

Par ailleurs, l’équipe a identifié un autre risque appelé « l’empoisonnement de la mémoire ». En effet, les navigateurs IA mémorisent les informations qu’ils ont traitées pour une utilisation ultérieure, rendant leur mémoire vulnérable aux attaques. « Nous avons constaté que certains de ces agents mélangeaient des informations provenant de différentes sources, probablement parce qu’ils révisaient et compressaient leurs souvenirs », explique Franziska Roesner, co-auteure principale de l’étude et professeure à l’École Allen de l’Université de Washington.

Si l’agent IA du navigateur consultait par exemple un forum l’incitant à publier les mots de passe de son utilisateur, il pourrait se laisser piéger et exécuter cette instruction comme une commande de l’utilisateur. Plus largement, plus un agent dispose de capacités étendues et d’autorisations importantes, plus sa surface d’attaque peut augmenter.

« Nous avons eu des échanges très fructueux avec les équipes de Google, Microsoft et Brave », indique Roesner en réponse à ces constats. « Ces entreprises déploient ces navigateurs sous la pression de la concurrence. Mais la question de leur sécurité reste entière. Après 30 ans de développement de cette politique d’origine identique, il s’agit d’un important recul pour la sécurité des navigateurs », conclut-elle.