BragJack détourne les assistants IA de Chrome, Edge et Opera

Ce qui s'est passé

Des chercheurs en sécurité ont rendu publiques le 18 septembre 2026 les conclusions de leurs travaux sur BragJack, une technique d'attaque qui exploite une faille architecturale commune à cinq des navigateurs web les plus populaires au monde. Chrome, Edge, Opera Neon, Comet et le navigateur intégrant l'assistant Claude sont tous concernés. La divulgation, menée selon les principes de la responsible disclosure, a conduit à la publication de correctifs d'urgence de la part de Google et Microsoft le même jour, tandis que les autres éditeurs n'avaient pas encore déployé de patch au moment de la publication.

BragJack se distingue structurellement des attaques par injection de prompt classiques. Là où l'injection de prompt tente de manipuler le modèle d'IA en altérant le contenu qu'il traite, BragJack opère en amont de cette évaluation : il détourne les canaux de communication de confiance qui relient les extensions de navigateur aux agents IA natifs. Les filtres de sécurité des LLM — les fameux guardrails censés refuser les requêtes malveillantes — ne voient jamais passer l'attaque, car celle-ci s'effectue avant que le modèle ne soit consulté.

Sur le plan technique, l'attaque repose sur une faille d'isolation insuffisante entre les permissions accordées aux extensions et les composants IA natifs du navigateur. Une extension malveillante peut se substituer à une ressource JavaScript légitime utilisée par l'agent IA. Cette substitution permet à l'attaquant de contrôler intégralement le prompt envoyé à l'agent, sa temporisation et ses commandes de suivi. Les chercheurs ont démontré l'exécution de code arbitraire dans le contexte de confiance de Gemini Nano dans Chrome, avec comme capacités documentées : la lecture de fichiers locaux, la capture d'écrans, l'extraction des informations de profil utilisateur, et l'activation de la caméra ou du microphone.

Microsoft a assigné CVE-2026-55945, une race condition de sévérité moyenne dans Edge, corrigée dans la version 150.0.4078.48. Google a tracké la vulnérabilité sous CVE-2026-0628, notée 8.8 (haute sévérité), corrigée dans Chrome 143.0.7499.192 et 143.0.7499.193. Les deux éditeurs ont versé environ 20 000 dollars de primes combinées aux chercheurs dans le cadre de leurs programmes de bug bounty respectifs. Pour Opera, Comet et le navigateur intégrant Claude, les équipes de sécurité avaient été notifiées mais aucun correctif n'était disponible au moment de la publication.

La surface d'attaque exposée est considérable. Les navigateurs visés représentent collectivement plusieurs milliards d'installations actives. La multiplication des agents IA natifs dans les navigateurs — Gemini Nano dans Chrome, Copilot dans Edge, intégrations GPT dans Comet — élargit mécaniquement les capacités dont un attaquant peut s'emparer une fois l'extension malveillante installée. Plus le navigateur est puissant, plus l'extension qui en prend le contrôle est dangereuse.

Le vecteur d'infection initial reste les canaux habituels de diffusion d'extensions malveillantes : outils de productivité déguisés, détournement de comptes développeur sur les stores d'extensions, ou mises à jour silencieuses d'extensions précédemment inoffensives. BragJack nécessite donc une étape préalable d'installation — ce qui limite son exploitation de masse — mais ne réduit pas la gravité de l'impact une fois cette barrière franchie. Les chercheurs ont publié leur article de recherche sous le titre « BragJack: Prompt-Forcing In-Browser AI Agents via Browser Extensions », sans rendre public le code de preuve de concept.

Aucune exploitation active dans la nature n'a été documentée à ce stade, selon les équipes de réponse aux incidents de Google et Microsoft. Les chercheurs ont également signalé leur découverte aux équipes de sécurité d'Opera, de Comet et de la société développant le navigateur Claude, conformément aux délais de divulgation coordonnée de 90 jours. La publication a eu lieu après que ces délais aient été respectés et que les deux éditeurs ayant déployé des correctifs aient confirmé leur déploiement.

Du côté des entreprises, l'exposition est particulièrement préoccupante pour les environnements où des navigateurs avec agents IA sont utilisés pour traiter des données sensibles. La capacité de BragJack à activer silencieusement le microphone ou à lire des fichiers locaux en fait un vecteur d'espionnage industriel particulièrement discret, ne laissant aucune trace perceptible dans l'interface utilisateur du navigateur compromis.

Pourquoi c'est important

BragJack met en lumière un angle mort structurel dans la manière dont les agents IA ont été intégrés aux navigateurs. La course entre éditeurs pour embarquer des assistants toujours plus capables a conduit à des cycles de développement accélérés qui n'ont pas systématiquement priorisé les modèles d'isolation des permissions. Le fait que la faille soit présente dans cinq navigateurs issus de quatre entreprises différentes — Google, Microsoft, Opera, et les développeurs de Comet et du navigateur Claude — révèle une défaillance systémique, pas une négligence isolée.

Sur le plan de l'architecture de sécurité, BragJack démontre que les garanties des LLM ne peuvent pas à elles seules protéger contre des attaques qui contournent la couche d'évaluation du modèle. La sécurité des agents IA est un problème de sécurité système autant que de sécurité des modèles : l'isolation des contextes d'exécution, la validation des sources de confiance et le principe du moindre privilège restent des fondamentaux que l'intégration rapide de l'IA dans les navigateurs a parfois relégués au second plan. Cette leçon dépasse les navigateurs et s'applique à tout système d'agents IA déployé sur des infrastructures existantes.

Pour les équipes SOC et les responsables sécurité, BragJack impose une révision des modèles de menace. Les extensions de navigateur doivent désormais figurer comme vecteur d'attaque potentiel sur les agents IA dans les analyses de risque. Les politiques de liste blanche d'extensions, souvent absentes ou peu appliquées dans les environnements non-MDM, deviennent un contrôle de sécurité à part entière. Les navigateurs avec agents IA activés sur des postes traitant des données confidentielles méritent une attention particulière dans les prochains audits.

La trajectoire du risque est haussière. Avec l'émergence d'agents IA capables d'effectuer des actions autonomes — navigation web, remplissage de formulaires, passation de commandes, exécution de code — la gravité d'une prise de contrôle via BragJack ne fera qu'augmenter. BragJack est probablement le premier d'une série de recherches sur l'exploitation des navigateurs augmentés par l'IA. Les éditeurs de navigateurs et les développeurs d'agents IA ont intérêt à anticiper la prochaine variante plutôt que de réagir à posteriori.

Ce qu'il faut retenir

• Mettre à jour Chrome vers la version 143.0.7499.193 et Edge vers 150.0.4078.48 en urgence pour corriger CVE-2026-0628 (CVSS 8.8) et CVE-2026-55945.
• Auditer les extensions installées dans les navigateurs professionnels et appliquer une politique de liste blanche stricte, surtout sur les postes accédant à des données sensibles.
• BragJack contourne les guardrails des LLM car il agit avant l'évaluation par le modèle — la sécurité des agents IA est un problème système, pas seulement un problème de modèle.