Agent IA dans le navigateur : ce qu'il faut sécuriser

Depuis le 12 août 2026, l'agent Claude ne travaille plus seulement dans une fenêtre de chat séparée : il tient une session complète dans le panneau latéral de Chrome, directement dans l'onglet où le travail se fait déjà. Ce déplacement n'est pas qu'un confort d'ergonomie. Un agent qui lit une page web lit tout ce qu'elle affiche, y compris ce qui n'est pas destiné à l'utilisateur. C'est ce changement, et ce qu'il faut sécuriser, que traite cet article.

Qu'est-ce qui a changé le 12 août 2026 ?

Le 12 août 2026, Anthropic a transformé le panneau latéral de son extension Claude pour Chrome en une session Claude Cowork complète. Concrètement, une tâche commencée dans un onglet se poursuit dans l'application de bureau sans perdre son historique, ses skills ni ses connecteurs, et réciproquement. Les skills, plugins et connecteurs fonctionnent pour la première fois directement dans le navigateur, sans configuration supplémentaire.

La disponibilité est immédiate pour les abonnés Max et Team, et arrivera dans les semaines suivantes pour les abonnés Pro. Plusieurs médias techniques ont confirmé le fonctionnement de cette bascule entre onglet et application, qui repose sur une session unique partagée entre les deux environnements.

Pourquoi ce déplacement n'est-il pas qu'une question d'ergonomie ?

Un agent IA a déjà été défini ailleurs sur ce blog : un logiciel qui planifie, agit avec des outils et observe le résultat pour ajuster sa démarche. Ce qui change ici n'est pas sa nature, c'est son terrain. Il travaille désormais dans l'onglet où l'utilisateur navigue déjà, avec accès à ce que la page affiche et, potentiellement, aux connecteurs actifs de la session en cours.

Cette proximité est précisément ce qui muscle la question de la sécurité. Un agent qui lit une page web ne distingue pas nativement un contenu écrit pour l'utilisateur d'un contenu écrit pour lui. C'est le point que cet article traite sérieusement, sans dramatiser.

Qu'est-ce que l'injection de prompt par une page web ?

Une page visitée peut contenir un texte discret, rédigé non pas pour la personne qui la lit mais pour l'agent qui l'analyse : un commentaire caché dans le code, un texte en blanc sur blanc, un bloc de métadonnées. C'est ce qu'on appelle l'injection de prompt par le contenu d'une page web.

Si l'agent traite ce texte comme une instruction légitime, il peut s'écarter de la tâche demandée, sans que l'utilisateur le voie passer. Ce n'est pas une hypothèse théorique : c'est la conséquence directe du fait qu'un agent lit tout ce qu'affiche une page, contenu utile et contenu parasite confondus.

Qu'est-ce que la portée des connecteurs, et pourquoi la limiter ?

Un connecteur donne à l'agent l'accès à un outil précis : une messagerie, un CRM, un espace de fichiers, un moyen de paiement. Maintenant que les skills, plugins et connecteurs fonctionnent directement dans le navigateur, la question devient concrète : à quels outils l'agent a-t-il accès pendant qu'il navigue sur une page que personne n'a vérifiée ?

Plus la portée des connecteurs actifs est large pendant une session de navigation ouverte sur le web, plus une instruction glissée dans une page a de conséquences possibles. La portée des connecteurs se raisonne donc tâche par tâche, pas une fois pour toutes.

Quels garde-fous concrets mettre en place ?

Trois réflexes suffisent à couvrir l'essentiel, sans complexifier l'usage au quotidien :

• Séparer les sessions selon la sensibilité de ce qui est ouvert : éviter de garder actif, dans le même onglet, un agent connecté à des données sensibles pendant qu'il navigue sur des sites non maîtrisés.
• Limiter les connecteurs actifs au strict nécessaire pour la tâche en cours, plutôt que de laisser une session accumuler des accès par confort.
• Ne jamais laisser un agent exécuter sans confirmation une action irréversible : un envoi, un paiement, une suppression, une publication.

Ces trois règles ne demandent aucun outillage particulier, seulement une discipline d'usage.

Faut-il s'en méfier au point de ne pas s'en servir ?

Non. Ces précautions ne sont pas une raison de se priver de l'outil, ce sont les réflexes attendus d'une entreprise qui déploie un agent avec sérieux. La tendance dépasse d'ailleurs un seul éditeur : plusieurs acteurs du secteur rapprochent leurs agents des outils où le travail se fait déjà, plutôt que de les cantonner à une fenêtre de chat isolée. The New Stack a documenté cette bascule vers des sessions continues entre navigateur et application.

La différence entre un agent et un chatbot classique explique pourquoi cette capacité d'action change la donne pour la sécurité. Et parce que les moteurs de recherche eux-mêmes intègrent désormais des réponses génératives, ce que change l'arrivée d'AI Overviews en France pour une PME mérite d'être regardé avec la même rigueur.