Un problème de sécurité a été découvert dans Perplexity Comet, un navigateur Web boosté à l’IA. En utilisant une technique d’injection de prompt indirecte, il est possible de manipuler l’agent IA pour lui faire exfiltrer des informations sensibles, mais ce n’est pas tout ! Voici ce que vous devez savoir.
L’injection de prompt indirecte avec les navigateurs agentiques
Les agents IA, présentés comme la prochaine révolution technologique, promettent d’automatiser nos tâches quotidiennes, de la réservation d’un restaurant à la gestion de nos e-mails. Vous pourriez même leur demander d’acheter le cadeau d’anniversaire de votre femme, si vous n’avez pas le temps de vous en occuper (mais ça, ce n’est vraiment pas cool).
Cependant, cette nouvelle opportunité et l’autonomie de ces agents crée une nouvelle surface d’attaque. Plusieurs chercheurs en sécurité, notamment chez Guardio et Brave, ont mis en lumière une vulnérabilité présente dans Comet, le navigateur de Perplexity.
Le cœur du problème réside dans l’incapacité de l’agent IA de Comet à distinguer le contenu d’une page web d’une instruction légitime de l’utilisateur. À partir de là, un attaquant peut envisager de dissimuler des commandes malveillantes directement dans le code d’une page web, par exemple, sous la forme de texte blanc sur fond blanc ou dans des commentaires HTML. Au passage, cette technique n’est pas sans rappeler celle qui fonctionne avec Gmail.
Si un utilisateur demande à Comet de lui résumer la page piégée, l’agent IA exécute ces instructions cachées sans se méfier : nous assistons à une injection de prompt indirecte. Les chercheurs de Brave ont simulé le scénario suivant :
Un utilisateur de Comet navigue sur un fil de discussion Reddit.
Un commentaire contient des instructions malveillantes invisibles.
L’utilisateur demande à l’agent IA un résumé de la discussion.
L’agent, en analysant le contenu, exécute la commande cachée, qui lui ordonne de trouver les identifiants de connexion Perplexity de l’utilisateur et de les envoyer à l’attaquant.
Cette vulnérabilité, liée à un manque de contrôle de la part de l’IA, est susceptible d’exposer les données sensibles de l’utilisateur.
“Contrairement aux vulnérabilités Web traditionnelles qui affectent généralement des sites individuels ou nécessitent une exploitation complexe, cette attaque permet un accès interdomaine par le biais d’instructions simples en langage naturel intégrées dans les sites Web.”, précisent les chercheurs.
Un risque pour tous les navigateurs dopés à l’IA
Cette faille de sécurité est donc liée à une technique appelée injection de prompt indirecte. Perplexity Comet n’est pas un cas isolé et ces agents IA semblent encore beaucoup trop facilement manipulables, et à la fin, c’est bien l’utilisateur qui risque d’en faire les frais.
À ce sujet, Guardio Labs a récemment publié une étude dont le titre est particulièrement révélateur : We Put Agentic AI Browsers to the Test – They Clicked, They Paid, They Failed. Concrètement, leurs tests ont démontré que les agents IA pouvaient être facilement manipulés pour effectuer des actions au nom de l’utilisateur.
Par exemple, l’agent IA pourrait être manipulé pour commander une Apple Watch sur un site web malveillant étant une copie d’un site officiel. C’est ce qui est arrivé avec Perplexity Comet qui a échoué avec ce test effectué par Guardio Labs.
Source : Guardio Labs
Ces faiblesses en matière de sécurité mettent en lumière une certaine naïveté de la part des agents IA, et surtout, cela ouvre une véritable boîte de Pandore. Pour autant, les principaux acteurs du marché poussent à l’adoption massive de ces outils, alors que les contrôles en matière de sécurité ne sont pas suffisants… Sans changement et réaction, la situation ne fera que s’aggraver.
Guardio Labs affirme que les cybercriminels n’auront plus besoin de tromper les utilisateurs : il suffira de tromper les agents IA. “À l’ère de l’IA contre l’IA, les escrocs n’ont pas besoin de tromper des millions de personnes différentes ; ils n’ont besoin que de casser un modèle d’IA. […] Une fois qu’ils ont réussi, le même exploit peut être reproduit à l’infini. Et comme ils ont accès aux mêmes modèles, ils peuvent “entraîner” leur IA malveillante contre celle de la victime jusqu’à ce que l’escroquerie fonctionne parfaitement.”, peut-on lire.
Qu’en pensez-vous ?
Source
Ingénieur système et réseau, cofondateur d’IT-Connect et Microsoft MVP “Cloud and Datacenter Management”. Je souhaite partager mon expérience et mes découvertes au travers de mes articles. Généraliste avec une attirance particulière pour les solutions Microsoft et le scripting. Bonne lecture.