Lorsque le corps de l'agent est détourné — une extension qui pilote les assistants d'IA de 5 produits
Forever Security a montré qu'une seule extension de navigateur ordinaire pouvait piloter l'IA intégrée de 5 produits — Chrome, Comet, Edge, Opera Neon et Claude. Séparément, Mandiant a signalé un attaquant qui détourne une session d'assistant de codage par IA et propage le ver Shai-Hulud sur environ 100 dépôts. Nous cartographions les frontières de confiance des runtimes agentiques.
Cet article a été traduit par une machine.
En septembre 2026, Gal Weizman, chercheur chez Forever Security, a démontré qu'une seule extension de navigateur, ne détenant que 2 permissions courantes — modification de page et declarativeNetRequest — pouvait contrôler les assistants d'IA intégrés de 5 produits : Gemini Live dans Chrome, Perplexity Comet, Microsoft Edge, Opera Neon, et l'extension Claude in Chrome. L'architecture est la même d'un produit à l'autre : l'IA a un « corps » dans le navigateur, qui peut voir l'écran, ouvrir des fichiers et utiliser la caméra, et un « cerveau » sur les serveurs de l'éditeur, et le corps ne reçoit d'ordres que d'une seule page de confiance (p. ex. gemini.google.com). L'extension glisse son propre code dans cette page de confiance et parle au corps comme si elle était l'éditeur. Le cas Chrome, connu sous le nom de GlicJack, est CVE-2026-0628 (CVSS 8.8, corrigé dans Chrome 143) ; seul le constat sur Edge a aussi reçu un CVE, CVE-2026-55945 (CVSS 4.2, corrigé). Comet, Opera Neon et Claude n'ont pas de CVE. Comet était le pire cas — une fois détourné, son agent pouvait lire n'importe quel fichier, lister l'historique de navigation, prendre des captures d'écran et agir en tant qu'utilisateur. Tous les constats sont des démonstrations de chercheurs, pas des attaques dans la nature, et chacun suppose que l'extension est déjà installée (selon le compte rendu de The Hacker News).
Dans un fil distinct, le rapport de septembre 2026 de Mandiant décrit un attaquant qui détourne une session active d'assistant de codage par IA chez un fournisseur SaaS non nommé. Après le détournement, une recommandation de l'assistant — pour un logiciel que l'attaquant avait empoisonné — a été acceptée par l'humain, et l'attaquant a utilisé la session du développeur pour installer un infostealer au moyen d'un paquet PyPI empoisonné à l'intérieur de l'espace de noms officiel de l'entreprise. Des jetons OAuth de GitHub ont été volés, et le ver auto-propageant Shai-Hulud a été déployé sur environ 100 dépôts internes ; un 2e employé qui a récupéré la version compromise a causé une 2e infection. Mandiant avait signalé plus tôt que les attaquants sont passés, au cours de 2025, de l'usage de l'IA générative pour accélérer le travail à l'intégration de LLM dans des logiciels malveillants et dans des attaques en cours (selon les comptes rendus de The Hacker News et de Mandiant).
Analyse (séparée des faits) : ce que les 2 récits ont en commun, c'est que la frontière de confiance des architectures agentiques repose sur une « page » et une « recommandation », plutôt que sur une approbation humaine. Les agents qui utilisent le navigateur acceptent des commandes depuis un seul domaine de confiance — mais une extension peut réécrire le contenu de cette page, ce qui fait des extensions un chemin de chaîne d'approvisionnement jusque dans la frontière de confiance. Du côté de l'agent de codage, l'« approbation » humaine d'une recommandation d'IA est elle-même l'octroi d'un privilège d'exécution : si l'entrée de celui qui recommande (le registre de paquets) est empoisonnée, l'approbation devient le déclencheur. L'humain dans la boucle est d'ordinaire décrit comme une mesure de sûreté ; pourtant, dans les 2 cas, l'humain dans la boucle n'a pas validé la recommandation — c'était une formalité.
Implications défensives : (1) Sur les points de terminaison où des assistants d'IA sont activés, inventoriez les permissions des extensions en même temps que les capacités de l'agent — si une extension peut atteindre la lecture de fichiers et l'accès à la caméra à travers le « corps » de l'agent, lui accorder des permissions est un véritable octroi de privilège. (2) Traitez tout paquet ou outil recommandé par une IA, même approuvé par un humain, comme un chemin de chaîne d'approvisionnement nouvellement ouvert, qui a besoin d'une validation. (3) Du côté du domaine de confiance, inventoriez les canaux de commande résiduels, tels que les sous-domaines de test (une adresse de test résiduelle a été la percée pour Comet). (4) Réduisez au minimum les fichiers qu'un agent peut lire et les jetons (p. ex. OAuth) qu'il détient. Ceci est notre analyse, pas une guidance de l'éditeur.
Les faits de cet article sont tirés principalement de la note BragJack de Forever Security (https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants/) et de l'AI Risk and Resilience Report 2026 de Mandiant / Google Cloud (https://cloud.google.com/security/resources/ai-risk-and-resilience-2026), avec le compte rendu de The Hacker News en source secondaire (https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html et https://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html) ; les sections d'analyse sont tenues séparées du compte rendu factuel. À noter que, pour les produits sans CVE, le statut de remédiation de l'éditeur n'a pas pu être pleinement confirmé à partir des informations publiques.