L’assistant IA d’Anthropic dans Chrome ouvre une porte dérobée vers votre Gmail
Les assistants IA installés dans le navigateur promettent de trier vos mails ou de gérer votre agenda à votre place. Encore faut-il qu’ils sachent distinguer un ordre venu de vous d’un ordre venu d’ailleurs. Des chercheurs viennent de démontrer que l’extension Claude d’Anthropic échoue précisément sur ce point.
Les assistants IA agentiques s’installent dans les navigateurs web avec des pouvoirs considérables. Ils lisent la boîte mail, remplissent l’agenda et modifient des documents à la demande. Chaque nouvelle permission accordée élargit la surface d’attaque pour un pirate. L’extension Claude d’Anthropic a déjà connu un bug baptisé ShadowPrompt, repéré en mars. Le principe reste le même à chaque fois, car un assistant autorisé à agir devient une cible de choix.
Les extensions de navigateur constituent justement un terrain miné. Des chercheurs ont mis au jour 108 modules frauduleux hébergés par la boutique officielle de Google Chrome, qui récoltaient identifiants et jetons de connexion. Une nouvelle analyse vise directement l’extension Claude, l’outil qui permet à l’IA d’Anthropic d’agir sur les sites consultés par son propriétaire. La faille repérée autorise un module malveillant à commander l’assistant sans le moindre geste humain, et le scénario inquiète les spécialistes.
L’extension Claude confond un clic humain avec un clic fabriqué en JavaScript
Le problème tient à une vérification manquante. Selon le rapport de Manifold Security, l’extension Claude déclenche neuf tâches prédéfinies au clic sur un élément de page. Le navigateur marque pourtant chaque clic fabriqué en code comme non authentique, via une propriété prévue à cet effet. L’outil d’Anthropic ignore ce marqueur et exécute la tâche sans sourciller. Un module pirate installé sur la machine peut donc lire les mails récents dans Gmail, ouvrir le dernier document Google Docs, créer des réunions dans l’agenda ou modifier des prospects dans Salesforce.
Anthropic n’a pas déployé de correctif à ce jour. L’entreprise a clos le signalement en indiquant suivre déjà le sujet comme un problème plus large. Manifold Security affirme que la faille reste reproductible dans la version 1.0.80 de l’extension, publiée le 7 juillet. L’attaque exige toutefois que la victime installe elle-même le module piégé, et elle se limite aux neuf tâches intégrées. Le risque grimpe nettement chez ceux qui activent l’option autorisant l’IA à agir sans demander confirmation.
