Extensions de pub pouvaient piloter l’IA de 5 navigateurs

Un chercheur a démontré qu’une extension dotée des permissions d’un bloqueur de publicité suffit à diriger l’assistant IA de cinq navigateurs. Les éditeurs ont corrigé, mais les impacts allaient de l’exfiltration d’e‑mails à l’accès complet au système de fichiers. Les primes versées, de 600 à 7 000 dollars, reflètent cette hétérogénéité.

20 500 dollars versés, de 7 000 à 600 selon la faille

Les éditeurs concernés ont alloué au total 20 500 dollars à Gal Weizman pour les vulnérabilités corrigées. Google et Comet ont payé chacun 7 000 dollars, Microsoft 5 000 dollars et Opera 900 dollars. Pour Claude in Chrome, Anthropic a versé 600 dollars, ce qui constitue la récompense la moins élevée parmi les cinq. La somme la plus importante, soit 7 000 dollars, équivaut à plus de onze fois la prime la plus basse de 600 dollars. Cette différence s’explique par le type de vulnérabilités découvertes : celles permettant un accès direct au système de fichiers ou à la caméra obtiennent une valorisation supérieure à celles qui se limitent à détourner un agent associé à un compte. Gal Weizman a informé les cinq éditeurs des vulnérabilités avant de rendre publics ses travaux. D’après le chercheur, aucune exploitation active n’a été détectée à ce jour.

Une extension ordinaire impose ses instructions sans clic

L’attaque s’appuie sur deux permissions habituelles d’extensions, la modification du contenu des pages et la redirection des requêtes réseau. Gal Weizman, de Forever Security, les exploite pour insérer du code dans une page de confiance et se faire passer pour l’éditeur auprès de l’assistant intégré. La victime n’a rien à faire : sans le moindre clic, l’assistant exécute des instructions dont il ne vérifie pas l’origine réelle. La technique relève du prompt-forcing, distinct des injections de prompt classiques, car elle n’introduit aucun texte piégé mais usurpe directement une page de confiance. Selon The Hacker News, ces attaques n’embarquent pas de code malveillant et échappent ainsi aux outils de détection traditionnels.

Une même méthode a touché cinq navigateurs à l’architecture proche

Chrome, Edge, Opera Neon, Comet et Claude in Chrome ont cédé à une seule méthode de test. Chacun d’eux utilise une architecture comprenant un module chargé d’exécuter les instructions de l’assistant et un serveur séparé qui les analyse, avec la possibilité d’accéder directement aux onglets ouverts et aux mots de passe sauvegardés. Dans tous les cas, l’extension malveillante a exploité un domaine qui était resté accessible en environnement de production alors qu’il aurait dû être supprimé après la phase de test interne.

Correctifs publiés et périmètres d’accès constatés

Google a corrigé la CVE-2026-0628 en janvier dans Chrome 143.0.7499.192. Notée 8,8 sur 10, elle permettait l’accès aux fichiers, au micro, à la caméra et aux captures d’écran. Début juillet, Microsoft a diffusé un correctif pour la CVE-2026-55945, notée 4,2, qui rendait possible le détournement de l’agent ainsi que la prise de contrôle du navigateur. Les failles identifiées sur Opera Neon, Comet et Claude in Chrome n’ont pas reçu de référence CVE. Les conséquences constatées différaient : sur Opera Neon et Claude in Chrome, il s’agissait de l’exfiltration d’e‑mails et de données affichées par l’agent ; sur Comet, l’accès intégral au système de fichiers et le contrôle absolu de l’agent étaient possibles ; sur Edge, la vulnérabilité exploitait une page marketing restée active en production ainsi qu’une course entre les modes Penser et Agir.

Réduire l’exposition côté utilisateur

Il est possible de limiter le risque en désactivant l’assistant IA sur les sites non familiers. Un contrôle régulier des permissions accordées aux extensions et la suppression de celles qui ne sont plus utiles complètent ces mesures.