Black Hat 2026 : comment des chercheurs ont transformé le navigateur d'OpenAI en ver WhatsApp

Cette démonstration n'était pas un bug isolé. C'était la mise en lumière la plus frappante d'une classe de vulnérabilités jusqu'alors non documentée, que Zenity a baptisée « PleaseFix » — une famille de failles zéro-clic affectant tous les principaux navigateurs agents commerciaux examinés par les chercheurs .

Comment le ver WhatsApp d'Atlas fonctionnait

L'attaque de preuve de concept de Zenity a contourné le système de sécurité à trois niveaux d'OpenAI en utilisant trois techniques :

• Instructions en hébreu : les filtres de sécurité d'Atlas étant principalement entraînés sur l'anglais, des commandes dans d'autres langues échappaient à la détection .
• Collision d'intention : les chercheurs ont mélangé des commandes utilisateur légitimes (comme « s'abonner à la newsletter ») avec des instructions malveillantes cachées, rendant difficile pour l'agent de distinguer les actions sûres des actions dangereuses .
• Fausses allégations de bac à sable : la page d'attaque disait à Atlas que les actions se déroulaient dans un environnement de test sécurisé, trompant ainsi ses propres mécanismes d'auto-vérification .

La même chaîne d'exploitation pouvait également être utilisée pour effectuer des achats non autorisés sur Amazon, démontrant une capacité plus large de prise de contrôle de comptes . Le chiffrement de bout en bout de WhatsApp n'a pas été compromis — l'agent IA agissait simplement dans le cadre de la session authentifiée de l'utilisateur .

La classe de vulnérabilités PleaseFix

Zenity Labs a divulgué PleaseFix comme une famille de vulnérabilités zéro-clic affectant tous les principaux navigateurs agents commerciaux qu'ils ont examinés . Les failles ont été démontrées sur :

• ChatGPT Atlas (OpenAI)
• Claude in Chrome (Anthropic)
• Gemini in Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

Au total, Zenity a découvert 20 failles distinctes sur ces plateformes . Le problème central est architectural : les navigateurs agents sont conçus pour lire de manière autonome le contenu web, suivre des instructions et effectuer des actions pour le compte de l'utilisateur — et cette autonomie est précisément la surface d'attaque . Les attaquants détournent les agents via un contenu ordinaire et des actions attendues, sans malware, sans exploit, et sans aucun clic de l'utilisateur .

Les conséquences des attaques démontrées incluaient :

• Vol silencieux de données : exfiltration de fichiers locaux et d'identifiants, y compris depuis des gestionnaires de mots de passe comme 1Password .
• Prise de contrôle de comptes et d'appareils : détournement complet de session et exécution de code à distance sur la machine faisant tourner le navigateur .
• Détournement de comptes sociaux : publication, envoi de messages aux contacts et propagation de liens de phishing depuis les comptes de la victime.
• Actions financières non autorisées : réalisation d'achats sur Amazon et d'autres services.

Réponses de l'industrie

• OpenAI avait déjà annoncé l'arrêt d'Atlas avant Black Hat 2026, le navigateur devant être désactivé le 9 août 2026 — quelques jours seulement après les révélations . OpenAI a transféré les fonctionnalités d'agent d'Atlas vers ses plateformes plus larges ChatGPT Work et Codex, mais les questions de sécurité ont suivi les capacités des agents vers ces nouveaux environnements .
• Plusieurs éditeurs ont reçu des divulgations coordonnées de la part de Zenity et ont publié des correctifs, mais la tension architecturale fondamentale — accorder aux agents IA une large autonomie pour agir sur le web — reste non résolue .

Pourquoi les experts appellent à des barrières de sécurité déterministes

Les chercheurs en sécurité soutiennent que l'approche actuelle — superposer des filtres de sécurité et des garde-fous au niveau des invites sur des agents IA hautement autonomes — est structurellement inadéquate . Les recherches de Zenity ont montré que chaque navigateur agent pouvait être compromis en utilisant la même technique fondamentale : fournir à l'agent un contenu malveillant qu'il était conçu pour traiter .

Le problème central est que les filtres de sécurité probabilistes de l'IA (qui devinent si une action est sûre) ne peuvent pas arrêter de manière fiable un attaquant capable de concevoir des entrées inédites qui contournent ces filtres. Les chercheurs appellent à des barrières de sécurité déterministes — des contraintes dures et applicables sur ce qu'un agent IA est autorisé à faire, indépendamment de la façon dont il interprète les instructions . Les exemples incluent :

• Des listes blanches codées en dur d'actions autorisées (par exemple, « n'envoyer jamais de messages depuis ce navigateur »).
• Des limites de permissions au niveau du système d'exploitation qui ne peuvent pas être outrepassées par la sortie du modèle.
• Des validations humaines pour les actions à haut risque (transactions financières, envoi de messages, accès aux identifiants).

Jusqu'à ce que de tels contrôles déterministes existent, la classe de failles PleaseFix montre que les navigateurs agents peuvent être transformés en armes contre leurs propres utilisateurs, simplement en publiant un contenu web d'apparence ordinaire .