Que peut faire un navigateur à IA comme ChatGPT Atlas, et quels sont les risques?

Un navigateur à IA est un navigateur Web dans lequel est intégré un assistant d’IA capable de voir la page où vous êtes et, dans certains cas, d’y agir. ChatGPT Atlas, qu’OpenAI a lancé le 21 octobre sur macOS, en est un exemple; Comet de Perplexity et Dia de The Browser Company en sont d’autres, et Chrome et Edge ajoutent leurs propres fonctions d’IA.

Atlas fait trois choses principales. Une barre latérale appelée Ask ChatGPT répond aux questions sur la page en cours : vous n’avez plus à copier-coller du texte dans une conversation. Les souvenirs du navigateur (browser memories), facultatifs, permettent à ChatGPT de se rappeler des détails des sites que vous avez visités et de les ramener plus tard. Et le mode agent, un aperçu offert avec les forfaits Plus, Pro et Business, permet à ChatGPT d’ouvrir des onglets, de cliquer et de taper pour accomplir une tâche à votre place.

Les risques, tels qu’OpenAI les décrit

OpenAI est d’une franchise inhabituelle au sujet des dangers. Son billet de lancement indique que l’agent peut tout simplement faire des erreurs, surtout dans les flux de travail complexes. Il prévient aussi que les agents sont vulnérables à l’injection de prompt : des consignes cachées dans une page Web ou un courriel, écrites pour l’emporter sur ce que vous avez demandé. Le résultat pourrait être des données soutirées de sites où vous êtes connecté, ou des actions que vous n’avez jamais voulues.

Le chef de la sécurité de l’information d’OpenAI, Dane Stuckey, est allé plus loin dans un message public publié le lendemain du lancement et cité par le développeur Simon Willison. Il a décrit des attaques allant de l’influence sur l’avis de l’agent pendant qu’il magasine jusqu’à la manipulation qui l’amène à divulguer le contenu de courriels ou des identifiants. Malgré les tests d’équipe rouge (red teaming), l’entraînement du modèle à ignorer les consignes malveillantes et plusieurs couches de protection, il a écrit que « l’injection de prompt demeure un problème de sécurité de pointe, non résolu ».

OpenAI a aussi imposé des limites à l’agent dans Atlas. Dans le navigateur, il ne peut pas exécuter de code, télécharger de fichiers ni ajouter d’extensions, et il n’a pas accès aux autres applications ni à vos fichiers. Sur les sites sensibles comme ceux des banques, il fait une pause pour que vous le surveilliez, un comportement que Stuckey a appelé Watch Mode.

Les réglages à vérifier avant de commencer

Supprimer votre historique de navigation supprime aussi les souvenirs du navigateur qui y sont liés.

Un exemple concret : un panier d’épicerie, sous supervision

L’exemple d’OpenAI est un souper entre amis : donner une recette à ChatGPT et lui demander de remplir un panier d’épicerie. Voici une version plus sûre de cette demande.

Voici une recette de lasagne aux légumes pour 8 personnes. Sur le site
d’épicerie déjà ouvert dans cet onglet, ajoute chaque ingrédient au panier dans
les quantités nécessaires. Choisis les produits de marque maison quand il y en a.
Ne passe pas à la caisse, ne modifie pas mon compte ni mes informations de livraison, et ne
visite aucun autre site Web. Quand tu as terminé, énumère ce que tu as ajouté, avec les prix.
Si un article est en rupture de stock, dis-le-moi au lieu de le remplacer.

1. Ouvrez vous-même le site d’épicerie et connectez-vous, pour que l’agent travaille sur un site que vous avez choisi.
2. Lancez le mode agent et restez sur l’onglet. Surveillez les pages qu’il ouvre.
3. Arrêtez-le s’il quitte le site du magasin ou ouvre quoi que ce soit d’inattendu.
4. Comparez sa liste avec le panier, puis passez à la caisse vous-même.

Remarquez la forme de la demande : un seul site de confiance, un objectif clair, des limites explicites, et la dernière étape, irréversible, gardée pour vous. Stuckey a fait presque exactement ce contraste : ajouter des ingrédients à un panier est une tâche plus sûre qu’une demande vague de parcourir vos courriels et d’agir en conséquence.

Comment vous protéger de l’injection de prompt dans les pages Web?

Vous ne pouvez pas voir les consignes cachées : la défense consiste donc à limiter ce qu’un attaquant pourrait obtenir. Commencez par le mode déconnecté : OpenAI le recommande chaque fois que la tâche n’a pas besoin de vos comptes, parce qu’un agent qui n’a pas vos identifiants ne peut pas divulguer ce qu’ils protègent. N’utilisez le mode connecté que pour des tâches bien circonscrites sur des sites de confiance.

Gardez les tâches étroites. Une demande qui nomme un seul site et un seul objectif laisse peu de place à une page malveillante pour détourner l’agent; « passe en revue mes courriels et prends toutes les mesures nécessaires » lui en laisse énormément. Ne collez jamais de mots de passe, de numéros de carte ni d’autres secrets dans une tâche.

Supervisez. Restez sur l’onglet, surtout sur les sites sensibles, et arrêtez l’agent dès qu’il fait quelque chose que vous n’avez pas demandé, comme visiter un site sans rapport ou remplir un formulaire dont vous n’avez pas parlé. Gardez pour vous la dernière étape de tout ce qui dépense de l’argent, envoie un message ou modifie un compte.

Enfin, gardez les choses en perspective. Comme l’a noté Willison, des défenses qui arrêtent la plupart des attaques laissent quand même de la place à un attaquant déterminé. Un navigateur à IA peut faire gagner un temps réel dans la navigation courante, mais pour l’instant, il fonctionne mieux comme un assistant que vous surveillez que comme un assistant que vous laissez seul.