Faille de sécurité BragJack : une extension a piraté l'IA des navigateurs
Des chercheurs en cybersécurité de l'entreprise Forever Security ont découvert une nouvelle méthode d'attaque appelée BragJack, permettant à une simple extension navigateur de prendre le contrôle des assistants IA intégrés dans cinq navigateurs populaires.
Selon les rapports, étaient concernés Google Chrome avec Gemini, Microsoft Edge, Opera Neon, Perplexity Comet ainsi que l'extension Claude dans Chrome. Tout utilisateur ayant installé l'un de ces navigateurs avec au moins une extension était potentiellement exposé, d'après le chercheur Gal Weizman.
Contrairement aux attaques précédentes, les chercheurs n'ont pas eu besoin de placer des commandes cachées dans le contenu lu par l'IA. Ils ont exploité une faille de conception : les extensions pouvaient franchir la barrière entre elles-mêmes et l'agent IA hautement privilégié, puis lui envoyer directement des commandes jusqu'à ce qu'il les exécute.
Dans un exemple avec Chrome et Gemini, les chercheurs ont même réussi, selon leur rapport, à capturer des captures d'écran, accéder à des fichiers locaux et activer la caméra ou le microphone, sans que l'utilisateur ait besoin de cliquer sur quoi que ce soit.
Les entreprises concernées – Google, Microsoft, Opera, Anthropic et Perplexity – ont confirmé les failles et versé des primes au groupe de recherche, allant de 600 à 7 000 dollars américains. Google et Microsoft ont également attribué des identifiants officiels de sécurité pour ces vulnérabilités.
D'après les sources, tous les problèmes signalés ont depuis été corrigés. On ignore combien de personnes ont été effectivement touchées avant que les failles ne soient comblées.
POURQUOI C'EST IMPORTANT
Ce cas montre que les assistants IA intégrés aux navigateurs peuvent avoir un accès étendu à vos données personnelles et qu'une extension en apparence inoffensive peut suffire à exploiter cet accès de manière abusive.
CE QUE VOUS POUVEZ FAIRE MAINTENANT
- Installez uniquement des extensions fiables et en petit nombre Avant l'installation, vérifiez les avis et l'éditeur de l'extension. Moins vous utilisez d'extensions, plus la surface d'attaque pour ce type de menace est réduite.
- Gardez votre navigateur à jour Activez les mises à jour automatiques dans les paramètres du navigateur. Les failles de sécurité comme celle-ci sont généralement corrigées par une mise à jour dès qu'elles sont connues.
- Supprimez les extensions inutilisées Vérifiez régulièrement les paramètres des extensions de votre navigateur et supprimez tout ce que vous n'utilisez plus. Chaque extension supplémentaire est une porte d'entrée potentielle.
- Soyez prudent avec les fonctions IA dans le navigateur Réfléchissez aux données que l'assistant IA intégré peut consulter ou modifier avant de l'utiliser. Désactivez cette fonction si vous ne l'utilisez pas régulièrement.