Présentation du problème

Des chercheurs de Forever Security ont démontré qu’une extension Chrome ordinaire peut prendre le contrôle des agents IA intégrés à cinq produits basés sur Chromium : Gemini Live (Chrome), Perplexity Comet, Microsoft Edge, Opera Neon et l’extension Claude for Chrome. L’extension, une fois installée, accède à l’« body » de l’IA – la partie locale capable de voir l’écran, d’ouvrir des fichiers, d’activer la caméra et le microphone – et lui envoie des ordres via la page web de confiance que l’IA écoute (par ex. gemini.google.com ou perplexity.ai).

Les démonstrations restent théoriques ; aucune attaque réelle n’a été observée à ce jour. Elles reposent toutes sur le même prérequis : l’utilisateur doit déjà avoir installé l’extension malveillante, un scénario fréquent pour les extensions à privilèges élevés.

Mécanisme d'exploitation

Le vecteur d’attaque exploite deux permissions courantes des extensions : "activeTab" (qui permet de modifier le contenu des pages, comme le font les bloqueurs de publicités) et "declarativeNetRequest" (qui intercepte le trafic réseau). En combinant ces droits, l’extension injecte du code JavaScript dans la page de confiance de l’IA, contournant ainsi la barrière qui empêche normalement les extensions de communiquer avec le corps de l’agent.

Pour Edge, les chercheurs ont ajouté une race condition : ils ont pris le contrôle d’une page marketing autorisée à envoyer des invites à l’IA, puis ont synchronisé l’injection de code avec le basculement de l’agent entre les modes « think » et « act », forçant l’exécution d’un prompt malveillant. Opera Neon, quant à lui, ne bloque pas les extensions sur opera.com, ce qui rend l’injection directe possible sans étape supplémentaire.

Impact et correctifs

Le tableau des capacités montre des variations importantes : sur Chrome et Comet, l’extension peut lire les fichiers locaux, activer la caméra et le microphone, et même prendre des captures d’écran. Sur Edge, l’agent peut être commandé à agir, mais aucune lecture de fichiers n’est possible. Claude in Chrome ne permet que le contrôle de l’agent, ce qui le classe comme le cas le moins grave.

Deux vulnérabilités ont reçu des identifiants CVE : CVE‑2026‑0628 (Chrome, score 8.8) corrigée dans Chrome 143.0.7499.192 (janvier 2026) et CVE‑2026‑55945 (Edge, score 4.2) corrigée dans Edge 150.0.4078.48 (2 juillet 2026). Les trois autres produits n’ont pas de CVE public, mais les éditeurs ont versé des primes de bug : $7 000 pour Chrome, $7 000 pour Comet, $5 000 pour Edge, $900 pour Opera Neon et $600 pour Claude.

Les correctifs consistent essentiellement à mettre à jour les navigateurs vers les versions mentionnées. Pour les produits sans CVE, les éditeurs ont indiqué qu’ils avaient appliqué des correctifs internes, mais aucune date précise n’est fournie.

Limites et perspectives

Les recherches soulignent une faiblesse structurelle : placer un agent IA à l’intérieur du navigateur crée une surface d’attaque où une extension à privilèges faibles peut atteindre un composant à privilèges élevés. Tant que les pages de confiance restent modifiables par des extensions, le risque persiste. Les navigateurs devront renforcer la séparation entre le contexte d’extension et les points d’entrée de l’IA, possiblement en limitant les permissions declarativeNetRequest ou en imposant des politiques de même‑origine plus strictes.

En l’absence d’exploitation observée, la menace reste théorique, mais le modèle d’attaque est réplicable et pourrait être exploité à grande échelle si les utilisateurs continuent d’installer des extensions non vérifiées.