Des spécialistes de la cybersécurité alertent déjà sur des failles sérieuses touchant le nouveau navigateur Atlas d’OpenAI, pensé pour placer ChatGPT au cœur de la navigation et automatiser des tâches en ligne. Au-delà des attaques déjà connues via des pages web piégées, une nouvelle faiblesse met en cause la façon dont Atlas interprète ce que l’utilisateur saisit dans sa barre de saisie.
Ce que propose Atlas et pourquoi cela inquiète
Atlas offre un mode agent (réservé aux abonnés) capable d’exécuter des actions complètes: réserver un billet d’avion, remplir un panier de courses, ou encore parcourir des documents. Cette promesse d’assistance clé en main est puissante, mais elle élargit la surface d’attaque: si l’agent se trompe sur l’intention de l’utilisateur ou suit des consignes malicieuses, il peut enchaîner des actions non souhaitées, parfois sur des comptes déjà authentifiés dans le navigateur.
De l’injection sur page… à l’injection via la barre de saisie
Jusqu’ici, les démonstrations d’attaque visaient surtout des consignes cachées dans des pages web, connues sous le nom de prompt injection indirecte. Des chercheurs ont montré qu’on peut détourner la sortie de l’agent (par exemple, au lieu de résumer un document, il affiche un slogan imposé).
Des travaux de la société de sécurité des agents IA NeuralTrust vont plus loin: ils indiquent que l’Omnibox d’Atlas — ce champ situé en haut du navigateur, qui accepte à la fois des URL et des requêtes en langage naturel — interprète trop généreusement ce qu’on y colle. En substance, un texte qui ressemble à une URL mais n’est pas parfaitement conforme peut ne pas être traité comme une adresse web; Atlas le considère alors comme une instruction utilisateur hautement fiable. Résultat: des consignes malveillantes peuvent se glisser dans ce qui paraît être un simple lien.
Pourquoi c’est problématique
- L’Omnibox fait office d’interface de confiance: ce qui y est saisi passe pour l’intention de l’utilisateur, avec moins de garde-fous.
- L’agent peut alors suivre des directives injectées qui contredisent la demande réelle ou contournent certaines politiques de sécurité.
- Si l’utilisateur est déjà connecté à des services (par exemple un drive ou une messagerie), l’agent pourrait, dans des scénarios extrêmes, effectuer des actions irréversibles comme des suppressions massives ou des transferts non désirés.
Autrement dit, une entrée banale devient un cheval de Troie: derrière une chaîne de caractères anodine, l’agent reçoit des ordres et les exécute avec un niveau de confiance élevé.
Ce que recommandent les chercheurs
Les équipes de NeuralTrust appellent à durcir l’analyse des URL:
- En cas de moindre ambiguïté, Atlas devrait refuser de naviguer et ne pas basculer automatiquement en “mode requête”.
- L’agent devrait appliquer davantage de contrôles lorsqu’il lit des instructions issues de l’Omnibox.
- Des confirmations claires devraient être exigées avant toute action sensible (accès à des comptes, modifications de fichiers, transactions, etc.).
Ces principes réduisent la surface de manipulation liée à l’interprétation de l’intention et rétablissent un filet de sécurité entre entrée utilisateur et action automatisée.
Un risque partagé par les navigateurs IA
Le problème ne touche pas qu’Atlas. La société Brave a récemment rappelé que les navigateurs alimentés par l’IA (y compris des alternatives comme le navigateur Comet de Perplexity) sont exposés aux injections indirectes: un simple résumé d’une page publique pourrait, si l’utilisateur est connecté à des comptes sensibles, conduire à des fuites de données ou à des opérations indésirables. Le cœur du risque: un agent qui exécute des consignes qu’il n’aurait jamais dû considérer comme fiables.
La position d’OpenAI
Le responsable de la sécurité de l’information d’OpenAI a reconnu publiquement que la prompt injection reste un problème de sécurité non résolu et en constante évolution, face à des adversaires prêts à investir pour tromper les agents. À la date évoquée par les médias spécialisés, OpenAI n’avait pas répondu aux sollicitations concernant les découvertes de NeuralTrust.
À retenir
- Atlas mise sur un agent puissant, mais la manière dont il comprend les instructions ouvre la porte à des abus.
- L’Omnibox peut interpréter certains textes comme des requêtes de confiance, même lorsqu’ils ressemblent à des URL, créant un vecteur d’attaque.
- Les chercheurs recommandent de renforcer la validation des entrées et de bloquer tout comportement ambigu.
- Le phénomène concerne l’ensemble de la catégorie des navigateurs IA: la vigilance et les garde-fous doivent progresser au même rythme que les capacités.
FAQ
Qu’est-ce qu’une “prompt injection” ?
C’est une technique qui consiste à glisser des consignes cachées à destination d’un agent IA afin d’influencer son comportement. Ces consignes peuvent être dissimulées dans une page web, un document, ou même dans ce que l’utilisateur colle dans la barre de saisie.
Comment puis-je me protéger au quotidien ?
- Évitez de coller des chaînes suspectes dans l’Omnibox.
- Déconnectez-vous des comptes sensibles lorsque vous explorez des sites inconnus.
- Activez les confirmations d’action quand elles existent et refusez toute opération inattendue.
- Mettez à jour votre navigateur dès qu’un correctif est disponible.
Les entreprises doivent-elles limiter l’usage de ces navigateurs ?
Pour les postes à privilèges élevés ou manipulant des données sensibles, il est prudent d’appliquer des politiques: comptes séparés, sessions isolées, restrictions d’accès et validations manuelles pour les actions à risque.
Est-ce un problème de conception ou de réglage ?
C’est souvent un mélange des deux: l’ergonomie qui unifie recherche, URL et requêtes en langage naturel est pratique, mais impose des règles de parsing strictes et des garde-fous adaptés pour éviter les interprétations dangereuses.
Comment reconnaître une URL “piégée” ?
Il n’existe pas de signe infaillible à l’œil nu. Méfiez-vous des liens ou “pseudo-liens” reçus de sources inconnues, des chaînes inhabituellement longues ou truffées d’éléments non familiers, et privilégiez la navigation vers des sites que vous saisissez vous-même ou que vous sélectionnez depuis des favoris vérifiés.