Les navigateurs IA sont-ils sûrs ? (ChatGPT Atlas, Perplexity Comet)

Ça dépend de ce que vous leur laissez voir. Les navigateurs IA comme ChatGPT Atlas (OpenAI, lancé en octobre 2025) et Comet (Perplexity) sont « agentiques ». Ils naviguent sur le web, lisent vos pages et agissent à votre place. Pour ça, ils tournent avec vos droits, dans vos sessions déjà connectées. Le problème : des chercheurs en sécurité les ont détournés. Une page piégée peut leur donner des ordres cachés. Le vrai risque, ce n'est pas un bug isolé. C'est la nature même de la catégorie.

Ce qu'un navigateur IA voit et fait pour vous

Un navigateur IA « agentique » ne se contente pas d'afficher des pages. Il agit. Il peut gérer votre boîte mail, remplir des formulaires, chercher des produits et réserver des billets. Pour rendre ces services, il doit voir le contenu de vos pages.

Et il le voit avec vos droits. Il opère dans vos sessions déjà connectées. Donc il peut atteindre votre messagerie, votre banque et vos outils internes, comme vous le feriez. C'est là que le confort devient un risque. L'assistant a le même accès que vous, mais il obéit à du texte.

L'alerte des chercheurs : l'injection de prompt

Le risque central s'appelle l'injection de prompt indirecte. Le principe est simple. Un attaquant cache des instructions dans une page web ordinaire. Par exemple du texte blanc sur fond blanc, ou dans un commentaire HTML invisible à l'œil. Le navigateur IA lit ces instructions. Et il leur obéit comme si c'était vous qui les donniez.

L'équipe sécurité de Brave l'a démontré sur Comet. Dans leur preuve de concept, des instructions cachées dans une page pilotaient l'assistant. Il pouvait lire l'e-mail de l'utilisateur, aller chercher un code à usage unique (OTP) dans Gmail, puis exfiltrer des identifiants. Des actions qui peuvent toucher un portail bancaire, un service de santé ou des systèmes d'entreprise.

La conclusion de Brave est nette. L'injection de prompt indirecte n'est pas un bug isolé. C'est un défi systémique pour toute la catégorie des navigateurs IA. Les règles classiques du web ne tiennent plus. La « same-origin policy » — la barrière qui empêche un site d'agir sur un autre — ne protège pas contre une IA agentique. Il faut de nouvelles architectures de sécurité.

OpenAI le reconnaît publiquement, et c'est frappant. L'entreprise dit que l'injection de prompt ne sera sans doute jamais totalement « résolue ». Un peu comme les arnaques et l'ingénierie sociale sur le web. Elle note que le mode agent d'Atlas élargit la surface d'attaque. Elle traite donc le sujet comme un défi de long terme, géré par des défenses continues, pas par un correctif unique.

Un autre cas a marqué 2025 : « CometJacking ». Des chercheurs ont montré qu'une simple URL piégée, en un clic, pouvait passer des instructions cachées à Comet. L'ordre : collecter des données depuis des services connectés comme Gmail et l'agenda, puis les envoyer à l'attaquant. Pire, encoder les données (par exemple en base64) permettait de contourner les garde-fous anti-exfiltration de Perplexity.

Mémoire et historique : un second vecteur

L'injection de prompt n'est pas le seul risque. La mémoire du navigateur IA en est un autre. C'est une exposition de données à part entière.

ChatGPT Atlas propose une fonction « browser memories », en opt-in (désactivée par défaut). Elle stocke des faits et des observations tirés de votre navigation — pas le contenu complet des pages. Atlas donne aussi un contrôle par page, la « ChatGPT page visibility », dans la barre d'adresse. Vous pouvez ainsi exclure une page de ce que l'assistant voit et retient.

Ces réglages aident. Mais ils demandent de la vigilance à chaque page sensible. Des tests indépendants ont d'ailleurs relevé des protections intégrées plus faibles dans certains navigateurs IA que dans les navigateurs classiques. La prudence reste de mise.

La parade : limiter ce que l'IA voit

Le bon réflexe est simple. Limitez ce que le navigateur IA peut voir sur les pages sensibles. Un navigateur IA demande un accès large : e-mails, agenda, contacts, historique. Moins vous lui en montrez, plus le risque baisse.

Deux règles pratiques. D'abord, gardez les tâches sensibles — banque, e-mail, santé — dans un navigateur classique séparé. Ensuite, anonymisez tout contenu avant de le confier à une IA. Ces deux gestes couvrent l'essentiel des scénarios décrits par les chercheurs.

• Coupez le mode agent sur les pages sensibles (banque, mail, santé).
• Utilisez le contrôle par page pour masquer une page à l'assistant.
• Gardez la mémoire de navigation désactivée si vous n'en avez pas besoin.
• Faites la même vigilance avec les modules IA : voir notre guide sur les extensions de navigateur IA.

1. 1Repérez la donnée sensible dans le texte que vous confiez à l'IA.
2. 2Remplacez-la par des jetons réversibles côté navigateur.
3. 3N'envoyez que le texte anonymisé au modèle.
4. 4Restaurez les valeurs réelles dans la réponse, en local.

C'est le rôle d'ONYRI Sanitize. Le moteur détecte les données sensibles et les remplace par des jetons réversibles avant l'envoi. La détection et le mapping restent dans votre navigateur. Seul un texte anonymisé atteint le modèle. Même si un contenu était détourné en chemin, il n'y trouverait que des jetons — pas vos informations réelles.