Des garde-fous qui s’effondrent dès qu’un modèle entre dans une réalité de substitution. Des chercheurs en sécurité ont découvert qu’un navigateur dopé à l’IA peut être poussé dans un « monde de rêve » où ses protections ne comptent plus. La recette ? Lui faire gober une fausse prémisse, par exemple que 2 + 2 = 5, pour qu’il exécute ensuite des consignes interdites. Charmant.
L’alerte tombe alors que les navigateurs agentiques se multiplient. Ces outils lisent des pages, cliquent, remplissent des formulaires et agissent dans des sessions déjà authentifiées. Le danger ne se limite plus au texte malveillant planqué dans une page : c’est la capacité du modèle à confondre contexte, rôle et réalité opérationnelle.
Points clés
- Une fausse prémisse acceptée par le modèle (« 2 + 2 = 5 ») suffit à désactiver ses garde-fous et lui faire exécuter des consignes interdites
- Brave et LayerX ont documenté en juin 2026 des attaques par injection de prompt indirecte visant données, mots de passe et actions système
- Chrome recommande une approche par couches pour WebMCP : un modèle de langage ne peut pas garantir seul un comportement sûr
- La parade passe par le confinement (privilèges réduits, confirmations, garde-fous externes), pas par la confiance dans le modèle
Une fausse règle, et tout déraille
Le mécanisme est d’une simplicité déconcertante. Un grand modèle de langage accepte une affirmation absurde comme cadre de fonctionnement, puis applique ce nouveau cadre à ses décisions suivantes. Dans le cas décrit par Ars Technica, l’instruction « 2 + 2 = 5 » sert de porte d’entrée vers un environnement fictif dans lequel les garde-fous habituels se relâchent.
Cette logique rejoint plusieurs travaux récents sur l’injection de prompt, technique où du texte piégé, glissé directement ou indirectement dans une page web, détourne un agent IA de sa tâche initiale. En juin 2026, Brave a publié des recherches sur l’indirect prompt injection dans les navigateurs agentiques, expliquant que des instructions cachées dans des pages ou des documents pouvaient détourner un assistant en plein travail.
Des chercheurs de LayerX ont décrit un scénario voisin, baptisé « BioShocking », où un navigateur IA est amené à croire qu’il évolue dans un univers où « les règles ne s’appliquent pas ». Leur démonstration ciblait des cas de copie de données, de changement de mot de passe ou d’exécution d’actions système après manipulation du contexte.
Un risque structurel, pas un bug isolé
Les navigateurs IA sont conçus pour agir à votre place, souvent au sein de sessions déjà connectées. C’est précisément ce qui les rend pratiques et vulnérables. Si l’agent lit une page hostile tout en ayant accès à des services authentifiés, une consigne injectée peut viser vos données sensibles, vos boîtes mail, vos dépôts de code ou votre gestionnaire de mots de passe.
Les réponses techniques avancées ces derniers mois pointent toutes dans la même direction : confirmation explicite avant les actions sensibles, réduction des privilèges, limitation du périmètre d’accès, séparation stricte entre contenu non fiable et instructions système, garde-fous hors du modèle. Début juin 2026, Chrome a recommandé une approche par couches pour les outils WebMCP, rappelant qu’un modèle de langage ne peut pas garantir seul un comportement sûr.
D’autres publications de sécurité confirment le tableau. Brave a indiqué que l’injection indirecte touchait aussi bien les systèmes cloud que locaux. Des travaux académiques sur les agents web rapportent des taux d’échec élevés face à des pages adverses, avec des objectifs d’attaque atteignables dans de nombreuses configurations testées.
La sécurité par confinement, pas par confiance aveugle
Le fil conducteur de ces recherches est limpide : la protection ne peut reposer uniquement sur ce que « comprend » le modèle. Quand un agent lit du contenu web non fiable, sa logique interne peut être détournée par le texte qu’il traite. Une fois la mauvaise hypothèse installée, le reste de la chaîne suit, y compris des actions que personne n’a demandées.
Les chercheurs de LayerX : « Une fois qu’on parvient à tromper l’IA pour faire basculer son contexte dans la fiction, où les règles sont inventées et où tout est permis, elle se comporte comme si ses actions n’avaient pas de conséquences dans le monde réel. »
Pour les éditeurs de navigateurs IA, le message est sans appel : la sécurité doit s’architecturer comme un confinement, pas se vendre comme une promesse de fiabilité absolue. Pour les utilisateurs, la règle tient en une ligne : ne confiez pas vos sessions sensibles à un agent qui surfe librement et peut agir en votre nom. Un assistant qu’on persuade que deux plus deux font cinq ne mérite pas les clés de votre boîte mail.
