Des chercheurs piratent le navigateur OpenAI Atlas et passent une commande sur Amazon à l'insu de l'utilisateur

Des chercheurs de la société Zenity ont découvert plus de 12 vulnérabilités dans des navigateurs IA et ont démontré concrètement qu'il est possible de forcer le navigateur OpenAI Atlas à effectuer un achat non autorisé sur Amazon et à envoyer du spam à tous les contacts WhatsApp de l'utilisateur, à son insu et sans son consentement.

Ce qu'a découvert Zenity

Zenity, spécialisée dans la sécurité des agents IA, a mené un audit systématique de plusieurs navigateurs IA, des outils de nouvelle génération qui permettent aux modèles de langage d'agir de manière autonome sur internet : cliquer, remplir des formulaires, effectuer des achats et envoyer des messages. Selon Wired, c'est précisément cette autonomie qui constitue leur principale faille.

• Plus de 12 vulnérabilités identifiées dans différents navigateurs IA
• L'un des principaux objets de test : OpenAI Atlas
• Démonstration de piratage : achat non autorisé d'un produit sur Amazon
• Second vecteur : envoi massif de spam aux contacts de l'utilisateur via WhatsApp
• Étude publiée dans Wired par la société Zenity

Comment détourne-t-on un navigateur IA

Atlas, le navigateur IA d'OpenAI, peut piloter des pages web comme un humain : voir le contenu, cliquer sur des boutons, saisir des données et exécuter des tâches en plusieurs étapes. Les chercheurs de Zenity ont employé contre lui la technique du prompt injection, qui consiste à injecter des instructions étrangères via un contenu malveillant présent sur une page web.

Lorsqu'Atlas visitait un site spécialement préparé, il lisait des instructions cachées comme des commandes de confiance émanant de l'utilisateur et les exécutait. Dans le scénario de démonstration, le navigateur a passé une véritable commande sur Amazon pendant que l'utilisateur ne se doutait de rien. L'attaque se déroule en arrière-plan : un agent IA est autonome par nature, et l'utilisateur peut ne pas remarquer à temps une action suspecte.

«

Les agents IA agissent au nom de l'utilisateur et ont accès à ses comptes ; leurs vulnérabilités sont donc plus dangereuses que celles d'un logiciel ordinaire », constatent les chercheurs de Zenity dans leur rapport publié par Wired.

Spam via WhatsApp : une menace bien réelle pour les contacts

Le second scénario présenté menace non plus le portefeuille, mais la réputation. L'attaquant force le navigateur IA à envoyer du spam via WhatsApp à l'ensemble du carnet d'adresses de l'utilisateur. Pour le destinataire, un tel message semble venir d'une connaissance, ce qui crée des conditions idéales pour le phishing.

Le propriétaire du navigateur compromis peut, lui, rester longtemps sans savoir que son agent a envoyé des messages indésirables. Si l'utilisateur compte plusieurs centaines de contacts dans WhatsApp, l'attaque touche instantanément un large cercle de personnes, et ce sans le moindre clic de la victime.

Ce que cela signifie

Les navigateurs IA forment une classe de logiciels radicalement nouvelle, pour laquelle les standards de sécurité n'existent pas encore. L'étude de Zenity montre que la vitesse de mise sur le marché devance le travail sur la protection. Tandis qu'OpenAI et d'autres développeurs étendent les capacités de leurs agents, la résistance de ces agents aux manipulations externes reste une question ouverte. Les utilisateurs ont intérêt à n'accorder qu'avec prudence de larges permissions aux navigateurs IA, en particulier l'accès aux comptes financiers et aux messageries.

Questions fréquentes

Qu'est-ce que le prompt injection dans les navigateurs IA ?

Le prompt injection est une attaque dans laquelle des instructions malveillantes sont injectées via des données que l'agent IA traite dans le cadre de son travail (par exemple, du texte caché sur une page web). L'agent les perçoit comme des commandes de confiance de l'utilisateur et exécute des actions que celui-ci n'a pas demandées, jusqu'à des achats et l'envoi de messages.

OpenAI

Atlas peut-il réellement débiter de l'argent sans autorisation ?

Oui, c'est précisément ce que les chercheurs de Zenity ont démontré : le navigateur a passé une véritable commande sur Amazon lors d'une expérience contrôlée. L'attaque est possible lorsque l'agent a accès à un compte contenant des données de paiement enregistrées.

*Meta est reconnue comme organisation extrémiste et interdite en Russie.