Des chercheurs de la société de sécurité Zenity ont présenté à la conférence Black Hat de Las Vegas des travaux montrant que les navigateurs web dotés d'IA peuvent être détournés par des attaques d'injection de prompt. L'équipe, menée par le cofondateur et CTO Michael Bargury et la chercheuse Stav Cohen, a découvert une vingtaine de failles dans les navigateurs IA et extensions de navigateur d'OpenAI, Google, Anthropic, Microsoft et Perplexity. Ces failles ont permis d'accéder à des machines locales, de récupérer des fichiers, de prendre le contrôle d'un gestionnaire de mots de passe et de dérober l'intégralité de l'historique de navigation. Selon Bargury, les éditeurs ont affaibli les contrôles de sécurité des navigateurs au point de rendre possibles des attaques dignes d'il y a vingt ans, des défenses classiques comme la same-origin policy devenant pratiquement inutiles.

Le navigateur Atlas d'OpenAI disposait des protections les plus solides parmi les outils testés, mais les chercheurs sont tout de même parvenus à les contourner. Dans une première démonstration, Atlas a été invité à s'inscrire à une newsletter via un lien publié sur X. La page d'inscription malveillante contenait des instructions cachées rédigées en hébreu — choisi pour échapper aux filtres de sécurité anglophones — ordonnant à l'IA d'ouvrir le compte WhatsApp Web connecté de l'utilisateur et d'envoyer le même message à chaque contact, créant ainsi un ver auto-propagateur comparable à une campagne de phishing de masse. La page avait en outre une apparence légitime et prétendait faussement fonctionner dans un environnement WhatsApp sandboxé. Zenity appelle ce mécanisme « intent collision » : l'IA fusionne une instruction légitime de l'utilisateur avec des instructions malveillantes issues du web.

Dans une seconde attaque, l'équipe a utilisé une fausse page de newsletter similaire pour qu'Atlas ajoute une adresse de livraison à un compte Amazon connecté et place une tablette dans le panier. Lorsque les garde-fous d'OpenAI ont bloqué l'achat, les chercheurs ont simplement demandé à Atlas de solliciter Rufus, l'assistant d'achat IA d'Amazon, pour finaliser la commande — ce qu'il a fait, prenant la demande pour celle du client. Rufus n'a pas été piraté ni injecté : il a simplement été interrogé et a obtempéré.

Zenity a signalé ses découvertes à OpenAI en janvier. OpenAI affirme avoir déployé une mise à jour corrigeant le problème et renforçant les protections d'Atlas, protections étendues aux fonctions de navigation de la nouvelle application ChatGPT ; Atlas sera abandonné le 9 août. Les chercheurs reconnaissent que ces attaques sont complexes et que les criminels disposent de moyens plus simples, mais plaident pour des barrières de sécurité déterministes plutôt que des jugements fondés sur l'IA, presque toujours trompables. Ils recommandent également de limiter avec soin le niveau d'accès et d'autonomie accordé aux agents de navigation, un navigateur détourné pouvant compromettre des comptes et faire fuiter des données.