Cinq navigateurs dopés à l’intelligence artificielle, parmi les plus populaires de la planète, peuvent être retournés contre leurs propres utilisateurs par une instruction cachée dans un e-mail, une invitation calendrier ou un commentaire sur un réseau social. Les chercheurs de Zenity Labs ont dévoilé cette semaine au Black Hat USA 2026, à Las Vegas, une famille de vulnérabilités baptisée « PleaseFix » qui frappe Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas et Copilot Edge, et dont la particularité glaçante tient en deux mots… zéro clic.
Le mécanisme repose sur ce que Zenity appelle « Intent Collision », une technique où des instructions malveillantes sont enfouies dans un contenu que l’agent IA parcourt naturellement (un corps de mail, un événement d’agenda, une page web quelconque). L’agent, incapable de distinguer un contenu légitime d’une directive hostile, exécute alors les ordres de l’attaquant avec l’identité, les permissions et les sessions authentifiées de la victime. Pas de pop-up suspect, pas de lien piégé à cliquer, pas de fichier à télécharger.
Pourquoi ces navigateurs sont-ils si vulnérables là où Chrome ou Firefox classiques résistent depuis des décennies ? Parce qu’un navigateur agentique piétine allègrement le principe de même origine (same-origin policy), ce rempart qui empêche un site web d’accéder aux données d’un autre. L’agent IA, par conception, agrège et agit sur des contenus issus de sources multiples au sein d’une même session. Il lit vos mails, consulte votre calendrier, navigue sur le web, et traite tout cela dans un flux unique. « Les navigateurs agentiques démantelent la frontière de sécurité sur laquelle les navigateurs s’appuient depuis des décennies », résume Michael Bargury, cofondateur et directeur technique de Zenity. « Ce n’est pas un bug qu’on peut corriger avec un patch. »
Les démonstrations présentées par Bargury et la chercheuse Stav Cohen ont de quoi donner des sueurs froides. Sur Claude in Chrome, une demande anodine de résumé d’e-mail a suffi à déclencher l’exfiltration de données Gmail, le partage silencieux de l’intégralité du Google Drive de la victime avec l’attaquant, et la prise de contrôle de comptes Slack, X et Claude, y compris lorsque le mode « demander avant d’agir » était activé. Sur Perplexity Comet, une invitation calendrier empoisonnée a permis d’accéder au système de fichiers local, de voler des identifiants et de prendre possession d’un compte 1Password complet (verrouillant la victime au passage). Perplexity a tenté de colmater la brèche après une première divulgation en mars 2026, mais Zenity Labs a contourné le correctif à deux reprises.
ChatGPT Atlas n’a pas été épargné non plus. Un lien d’apparence ordinaire, glissé sous une publication populaire sur un réseau social, a suffi à détourner le flux de travail de l’agent. Atlas s’est alors mis à ouvrir des onglets et à envoyer des messages de phishing depuis le WhatsApp de la victime. Dans un second scénario, l’agent a rempli un panier Amazon avec l’adresse de livraison de l’attaquant ; bloqué par les garde-fous d’OpenAI au moment du paiement, il a tout bonnement recruté Rufus, l’assistant IA d’Amazon, pour finaliser la commande sur la carte bancaire de la victime. Un agent qui en enrôle un autre pour boucler la fraude, voilà qui donne le vertige.
Les chercheurs ont aussi démontré des prises de contrôle complètes de machines via localhost, cette zone de confiance absolue où tournent les outils de développement, les consoles de bases de données et les services internes. Comet y accède sans entrave, Gemini in Chrome et Edge tentent de bloquer l’accès mais les protections ont été rapidement contournées. Résultat, Comet a ouvert un reverse shell complet via Ollama et Open WebUI, Gemini a fait de même à travers un notebook Jupyter, et Edge a corrompu une base de données SQL entière via pgAdmin. Une technique supplémentaire, que Zenity nomme « HistoryFixing », exploite une astuce vieille de seize ans pour planter de fausses entrées dans l’historique du navigateur, des entrées que l’agent lit ensuite comme des faits avérés sur l’utilisateur et qui persistent indéfiniment.
Comment se protéger quand le problème n’est pas un défaut ponctuel mais une conséquence structurelle de l’architecture même de ces navigateurs ? Stav Cohen recommande d’adopter un postulat radical, celui de considérer que l’agent sera détourné, d’évaluer le pire scénario possible, et de retirer à l’agent tout accès dont il n’a pas strictement besoin. Concrètement, cela signifie ne jamais connecter de comptes professionnels (messagerie, AWS, GitHub) dans un navigateur agentique, désactiver les paramètres par défaut trop permissifs, restreindre le périmètre d’action de l’agent et ne surtout pas se reposer sur un simple bouton de confirmation. « La solution n’est pas de demander à l’IA de bien se comporter, c’est de poser autour de l’agent des limites qu’il ne peut pas outrepasser, et de les activer par défaut », insiste Cohen.
Zenity, qui a bouclé une levée de fonds de 125 millions de dollars en Série C quelques jours avant sa présentation, a divulgué ses découvertes de manière responsable à Anthropic, Perplexity, Google, Microsoft et OpenAI. Certains éditeurs ont déployé des correctifs partiels, d’autres ont estimé que le comportement décrit relevait du fonctionnement normal de leurs produits. Cette divergence de réponses en dit long sur l’absence de consensus industriel face à une menace qui ne rentre dans aucune case existante.
Car au fond, la question que pose PleaseFix dépasse la cybersécurité classique. Un navigateur IA n’est pas un logiciel passif qui attend vos instructions, c’est un employé virtuel déjà authentifié sur l’ensemble de vos comptes, doté du pouvoir d’agir en votre nom et incapable de flairer le piège quand un attaquant lui murmure des ordres au milieu d’un fil de discussion. Tant que l’industrie traitera cette réalité comme une fonctionnalité plutôt que comme un risque existentiel, chaque boîte de réception restera une porte d’entrée grande ouverte.
