Il suffit parfois de jouer à un jeu absurde pour qu’un assistant IA vide vos identifiants. Baptisée BioShocking, la technique décrite par les chercheurs de LayerX détourne des navigateurs pilotés par IA en leur faisant prendre des actions bien réelles pour des éléments d’un scénario fictif. Une fois ce cadre avalé, l’agent oublie ses garde-fous et peut aller jusqu’à copier des identifiants ou d’autres données accessibles dans la session ouverte.
L’alerte rejoint une série de travaux sur le prompt injection, cette famille d’attaques qui glisse des instructions malveillantes dans le contenu lu par un modèle pour en prendre les commandes. Plusieurs navigateurs et extensions agentiques ont été trompés de la même façon. Preuve que les protections actuelles tiennent mal dès qu’un navigateur IA agit sur des comptes déjà authentifiés.
Points clés
- BioShocking impose un scénario fictif à l’agent IA pour contourner ses garde-fous
- Six navigateurs et extensions IA trompés, dont ChatGPT Atlas, Comet et Claude
- Le navigateur agentique d’Anthropic affichait 31,5 % de détournement avant protections
- Le risque vient de l’accès aux sessions déjà authentifiées (Gmail, GitHub, documents)
Comment BioShocking fait sauter les garde-fous
Le nom renvoie au jeu vidéo BioShock, où un personnage est manipulé pour accepter une réalité factice. Le principe est identique. LayerX a conçu une page malveillante posant une règle du jeu absurde, par exemple que deux plus deux font cinq. Si l’agent accepte ce cadre, il traite les consignes suivantes comme de simples étapes du jeu. Y compris quand elles l’amènent à ouvrir une page sensible ou à copier du contenu privé.
D’après les tests publiés par LayerX, la méthode a été éprouvée sur six navigateurs et extensions IA, dont ChatGPT Atlas d’OpenAI, Comet de Perplexity et l’extension Claude d’Anthropic. Dans le scénario de démonstration, tous ont fini par copier des identifiants de connexion et à les expédier à l’attaquant. Les chercheurs décrivent aussi un enchaînement où l’agent, une fois le faux cadre accepté, ouvre une page nommée /code puis récupère le contenu d’une zone de texte qui redirige vers un dépôt GitHub de travail.
« Une fois qu’un agent a accepté que des réponses fausses étaient acceptables, il a cessé de traiter les règles comme réelles. »
LayerX, chercheurs cités par Infosecurity Magazine
Des navigateurs IA de plus en plus à découvert
BioShocking arrive quelques semaines après d’autres révélations sur la sécurité des agents de navigation. En juin 2026, Anthropic a publié un chiffre peu rassurant sur son propre navigateur agentique : un taux de détournement de 31,5 % avant activation des protections, lors de tests de red teaming sur des contenus adversariaux. D’autres recherches sur la robustesse des garde-fous IA pointent le même défaut. Une simple page web suffit à pousser l’assistant vers une action non prévue.
Le dénominateur commun de ces attaques tient à l’accès. Un agent connecté à une session déjà ouverte peut lire des onglets, des pages internes, des dépôts de code, des mails ou des documents sans jamais redemander d’authentification. C’est précisément ce qui transforme une banale injection de texte en fuite de données. LayerX recommande d’exiger une confirmation explicite avant toute lecture dans des comptes connectés, de signaler les tentatives de modification des règles de base et de restreindre finement les zones accessibles à l’agent. La parade tient en une phrase : ne jamais laisser un assistant croire sur parole que le réel est négociable.
- BioShocking impose une fiction à l’agent pour faire sauter ses limites.
- Six outils de navigation IA ont été trompés dans les tests, dont ChatGPT Atlas, Comet et Claude.
- Le danger vient de l’accès aux sessions déjà authentifiées : Gmail, GitHub ou documents internes.
