Publié le 7 décembre 2023 18:01:00. Des chercheurs en sécurité ont mis en évidence une faille préoccupante dans les navigateurs web dotés d’intelligence artificielle : une simple requête par e-mail, formulée de manière courtoise, peut suffire à effacer massivement des fichiers sur Google Drive, sans aucun signe de phishing ou de logiciel malveillant.
- Le navigateur Comet de Perplexity peut être manipulé pour supprimer des fichiers Google Drive via une attaque dite « Google Drive Wiper sans clic ».
- Une technique distincte, HashJack, permet de dissimuler des instructions malveillantes dans les URL, compromettant ainsi les assistants de navigation IA.
- Les experts soulignent la nécessité de sécuriser non seulement les modèles d’IA, mais également les agents, leurs connecteurs et les instructions qu’ils reçoivent.
Une simple demande polie à un navigateur web alimenté par l’intelligence artificielle pourrait avoir des conséquences désastreuses : l’effacement silencieux de vos fichiers. L’alerte a été lancée par Amanda Rousseau, chercheuse en sécurité chez Straiker STAR Labs, qui a révélé cette semaine une vulnérabilité critique dans le navigateur Comet de Perplexity. Ce navigateur, conçu pour automatiser des tâches courantes telles que la gestion des e-mails et le stockage dans le cloud, peut être exploité pour supprimer en masse des fichiers Google Drive sans nécessiter de liens de phishing ou de pièces jointes suspectes.
Selon les recherches de Mme Rousseau, la faille repose sur la manière dont les agents de navigateur IA interprètent les instructions. Lorsqu’un utilisateur demande à Comet de « vérifier mes e-mails et d’effectuer toutes les tâches récentes de mon organisation », le navigateur analyse la boîte de réception et exécute les actions qu’il y trouve. Un attaquant peut alors envoyer un e-mail contenant des instructions étape par étape, formulées de manière courtoise (par exemple, « organiser le Drive », « supprimer les fichiers inutiles », « examiner les modifications »), que l’agent considère comme une opération d’entretien légitime et exécute sans demander de confirmation supplémentaire.
« Le résultat : un effaceur piloté par un agent de navigateur qui déplace le contenu critique vers la corbeille à grande échelle, déclenché par une requête en langage naturel de l’utilisateur. »
Amanda Rousseau, chercheuse en sécurité chez Straiker STAR Labs
Une fois qu’un agent dispose d’un accès OAuth à Gmail et Google Drive, ces instructions abusives peuvent se propager rapidement aux dossiers partagés et aux Drive d’équipe, amplifiant ainsi les dégâts potentiels. Ce qui rend cette attaque particulièrement efficace, c’est son approche subtile. L’e-mail de l’attaquant utilise des expressions telles que « prendre soin de », « gérer ceci » et « faire cela en mon nom », transférant ainsi la responsabilité à l’agent et l’incitant à se conformer. Les instructions polies et séquentielles semblent réduire les réticences du modèle d’IA, qui traite le flux de travail comme une tâche de productivité de routine plutôt que comme une menace potentielle.
Parallèlement, une autre menace, appelée HashJack, a été divulguée fin novembre par Cato Networks. Cette technique permet de masquer des instructions malveillantes dans la partie fragmentée des URL légitimes (le texte après le symbole « # »). Lorsque les navigateurs IA traitent ces URL et que les utilisateurs posent des questions, les instructions cachées alimentent directement les réponses de l’assistant IA. Vitaly Simonovich, le chercheur en sécurité qui a dirigé les recherches de Cato Networks, a découvert que HashJack peut manipuler Comet de Perplexity, Copilot de Microsoft pour Edge et Gemini de Google pour Chrome, allant de l’insertion de faux numéros de rappel à l’exfiltration de données utilisateur en arrière-plan.
« HashJack est la première injection indirecte connue capable de transformer n’importe quel site Web légitime en arme pour manipuler les assistants de navigation IA. »
Vitaly Simonovich, chercheur en sécurité chez Cato Networks
Les fragments d’URL ne sont pas enregistrés par les serveurs web ni dans les journaux réseau, ce qui les rend invisibles pour les outils de sécurité traditionnels. Dans le cas de Comet, le navigateur peut récupérer automatiquement les URL contrôlées par les attaquants, avec les données utilisateur ajoutées comme paramètres, envoyant ainsi des noms de compte, des historiques de transactions et des adresses e-mail à des serveurs externes sans l’intervention de l’utilisateur.
Microsoft et Perplexity ont réagi à la divulgation de HashJack en publiant des correctifs. Microsoft a appliqué un correctif à Copilot pour Edge le 27 octobre et Perplexity a corrigé Comet le 18 novembre. Google, quant à lui, a classé le problème comme « non résolu » et lui a attribué une faible gravité, selon le calendrier de divulgation de Cato Networks. L’entreprise ne considère pas les contournements de garde-fous ou la génération de contenu violant les politiques comme des vulnérabilités de sécurité dans le cadre de son programme de récompenses pour les vulnérabilités de l’IA.
Ces découvertes mettent en lumière un risque plus large : les agents de navigation IA fonctionnent sur la base de la confiance, en supposant que les e-mails sont inoffensifs, que les URL sont sûres et que les instructions en langage naturel correspondent à l’intention de l’utilisateur. Cette confiance devient une vulnérabilité lorsque les attaquants créent des entrées conçues pour exploiter la manière dont ces systèmes interprètent le contexte.
« Ne vous contentez pas de sécuriser le modèle. Sécurisez l’agent, ses connecteurs et les instructions en langage naturel auxquelles il obéit discrètement. »
Amanda Rousseau, chercheuse en sécurité chez Straiker STAR Labs
Alors que les entreprises déploient de plus en plus de copilotes d’IA dans les domaines de la messagerie électronique, du stockage cloud et des navigateurs web, il est impératif de prendre conscience de ces risques. L’automatisation sans garde-fous peut transformer des assistants utiles en saboteurs silencieux.