Dans le contexte des navigateurs autonomes pilotés par des agents IA, Brave a récemment publié une analyse qui met en lumière une vulnérabilité majeure dans Perplexity Comet, un navigateur AI capable d’effectuer des actions Web pour le compte de l’utilisateur. Cette faille illustre les défis de sécurité posés par les agents IA qui interprètent du contenu Web sans distinction entre les instructions utilisateur et le contenu potentiellement malveillant. (Brave)
Contexte : navigateurs agentiques et modèle de menace
Les navigateurs agentiques (p. ex. Comet ou les fonctionnalités AI avancées de Brave) exécutent des tâches Web complexes à partir d’une commande en langage naturel : résumer des pages, naviguer, cliquer et interagir avec des formulaires. L’introduction de cette autonomie repose sur de larges modèles de langage (LLM) servant de cœur décisionnel. (Brave)
Sur le plan sécurité, ceci pose des problèmes fondamentaux :
- l’agent IA peut avoir accès aux sessions authentifiées, cookies et données sensibles ;
- les protections classiques du Web (Same-Origin Policy, CORS, sandboxing du DOM) deviennent inopérantes si le LLM exécute des actions en-dehors du périmètre strict de l’origine. (Brave)
Mécanisme de l’injection de prompt indirecte
La vulnérabilité étudiée repose sur un principe simple, mais dangereux :
- Inclusion d’instructions malveillantes dans du contenu Web
Un attaquant peut insérer des commandes dans une page via du texte invisible (texte blanc sur fond blanc, balises HTML commentées, balises de spoiler, etc.) ou dans du contenu généré par les utilisateurs (commentaires, posts). (Brave) - Déclenchement de l’IA
Lorsqu’un utilisateur interagit avec la fonction IA (par exemple, “résume cette page”), Comet envoie le contenu de la page à son backend LLM sans distinguer ce que l’utilisateur a demandé de ce qui provient du contenu web. (Brave) - Injection interprétée comme une commande
Le LLM interprète ces instructions cachées comme des commandes légitimes de l’utilisateur. Cela peut inclure des actions Web malveillantes comme naviguer vers une page de banque, lire des données ou exfiltrer des informations. (Brave) - Exécution avec privilèges
L’IA exécute ces actions avec le contexte complet de session de l’utilisateur (cookies, sessions ouvertes), ce qui peut entraîner la compromission de comptes sensibles. (Brave)
Démonstration de preuve de concept
Brave a démontré un scénario où une instruction cachée dans un commentaire Reddit force Comet à :
- naviguer vers la page de compte Perplexity pour extraire l’adresse e-mail de l’utilisateur ;
- générer un OTP via une requête légèrement modifiée pour contourner les protections ;
- accéder à Gmail (où l’utilisateur est authentifié) pour lire le code OTP ;
- exfiltrer ces informations en répondant au commentaire Reddit. (Brave)
Ce scénario met en évidence une attaque cross-domaine complète sans interaction explicite supplémentaire de l’utilisateur. (Brave)
Implications pour la sécurité Web
Cette vulnérabilité illustre qu’avec des agents IA autonomes :
- Les protections fondées sur l’origine ne suffisent plus, car l’IA peut exécuter des actions en dehors des frontières classiques SOP/CORS. (Brave)
- L’agent peut agir en tant que navigateur « super-utilisateur », effectuant des actions malveillantes invisibles. (Brave)
- Les attaques peuvent venir de contenu apparemment bénin (reddit, forums, pages publiques). (Brave)
Approches de mitigation proposées
Brave identifie plusieurs stratégies pouvant réduire de tels risques :
1. Séparer strictement les instructions
Le navigateur doit séparer explicitement les instructions de l’utilisateur du contenu de la page avant d’envoyer le contexte au LLM. Toute donnée de page Web doit être traitée comme non fiable. (Brave)
2. Vérifier l’alignement de sortie du modèle
Les actions proposées par l’IA doivent être validées indépendamment pour s’assurer qu’elles sont alignées avec la requête utilisateur d’origine plutôt que dictées par du texte injecté. (Brave)
3. Confirmation pour actions sensibles
Toutes actions sensibles (extraction de données, envoi d’e-mail, changement d’état) doivent nécessiter un consentement explicite de l’utilisateur. (Brave)
4. Isolation des modes agentiques
L’agent autonome doit être isolé des sessions de navigation classiques, avec des permissions bien définies et visibles. Le mode agentique ne devrait pas être activé par inadvertance. (Brave)
Conclusion
L’audit de Brave sur Perplexity Comet révèle une faille architecturale liée à l’interprétation du contenu Web par des LLMs agentiques, qui permet à un attaquant d’injecter des instructions malveillantes exploitables dans le contexte d’une requête de résumé ou de navigation.
Pour les développeurs travaillant sur des intégrations IA ou des agents autonomes, ceci constitue un signal fort : les modèles ne doivent jamais être traités comme des exécutants aveugles sans barrières de sécurité, et toute architecture d’agent doit implémenter des frontières strictes entre instructions utilisateur et contenu externe. (Brave)
