Le 22 décembre 2025, OpenAI a publié un article consacré à la sécurité de ChatGPT Atlas, son navigateur web doté d’un agent IA intégré. L’entreprise y écrit que l’injection de prompt, « tout comme les arnaques et l’ingénierie sociale sur le web », ne sera probablement jamais entièrement résolue.
Si vous laissez un agent IA lire vos e-mails ou naviguer alors que vous êtes connecté à vos comptes, ce problème vous concerne aussi. La liste établie par OpenAI de ce qu’une attaque réussie pourrait hypothétiquement accomplir comprend le transfert d’un e-mail sensible, l’envoi d’argent, ainsi que la modification ou la suppression de fichiers dans le cloud.
OpenAI n’est pas seule dans ce cas. Plus tôt dans le mois, le National Cyber Security Centre (NCSC) du Royaume-Uni avait averti que les attaques par injection de prompt contre les applications d’IA générative « pourraient ne jamais être totalement atténuées », a rapporté TechCrunch.
Ce qu’a dit OpenAI
Selon la description d’OpenAI en décembre 2025, le mode agent de ChatGPT Atlas permettait à un agent de navigation de consulter des pages web et d’effectuer des actions, clics et frappes au clavier, dans votre navigateur. OpenAI a expliqué que plus l’agent accomplit de tâches pour vous, plus il devient « une cible de plus grande valeur pour les attaques adverses ».
L’article annonçait une mise à jour de sécurité de l’agent du navigateur Atlas, comprenant un nouveau modèle entraîné de manière adversariale et des protections renforcées autour de celui-ci. OpenAI a indiqué que cette mise à jour avait été motivée par une nouvelle classe d’attaques par injection de prompt, découverte par son « red teaming » automatisé interne, c’est-à-dire des tests d’attaque menés contre son propre produit.
L’entreprise a qualifié l’injection de prompt de « défi de sécurité de l’IA à long terme » et a déclaré que le mode agent « élargit la surface de menace ». Elle a également écrit que la nature de l’attaque « rend les garanties de sécurité déterministes difficiles ».
Un porte-parole d’OpenAI a refusé de dire à TechCrunch si la mise à jour avait entraîné une réduction mesurable du nombre d’injections réussies.
Comment fonctionne une injection de prompt
OpenAI décrit l’attaque comme l’intégration d’instructions malveillantes dans un contenu que l’agent traite, rédigées pour supplanter ou détourner ce que fait l’agent.
Le NCSC décrit une variante communément appelée injection de prompt indirecte : un attaquant sans accès direct au système d’IA écrit quelque chose que le système finit par traiter et considérer comme une instruction. Son exemple est celui d’un candidat qui cache dans son CV un texte demandant au modèle chargé du tri d’ignorer les instructions précédentes et d’approuver le CV pour un entretien.
La difficulté à corriger ce problème tient au modèle lui-même. L’article du NCSC affirme que les modèles de texte IA actuels « n’imposent tout simplement aucune frontière de sécurité entre les instructions et les données au sein d’un prompt ». Un modèle, explique-t-il, prédit le jeton suivant le plus probable, soit un fragment de texte, à partir du texte précédent, sans distinction inhérente entre données et instructions.
C’est là que la comparaison avec les attaques plus anciennes s’effondre. L’injection SQL (Structured Query Language), une attaque connue de longue date contre les bases de données qui alimentent les sites web, peut être correctement atténuée grâce aux requêtes paramétrées, selon le NCSC, alors que l’injection de prompt ne sera très probablement jamais atténuée correctement de la même manière. L’objectif réaliste, selon les termes de l’article du NCSC, est de « réduire la probabilité ou l’impact des attaques ».
La démonstration : un e-mail, une lettre de démission
Pour découvrir les attaques avant que des tiers ne le fassent, OpenAI a conçu un attaquant automatisé, lui-même un modèle d’IA, et l’a entraîné par apprentissage par renforcement afin qu’il apprenne de ses succès et de ses échecs. L’attaquant peut soumettre une injection candidate à un simulateur, lire comment l’agent ciblé raisonnerait et agirait, puis la réviser et réessayer. OpenAI a précisé que cette vue du raisonnement de la cible n’est pas accessible aux utilisateurs externes, ce qui donne un avantage à son attaquant interne.
OpenAI a publié l’une des attaques découvertes par son attaquant. Un e-mail malveillant arrive dans une boîte de réception, contenant une instruction demandant à l’agent d’envoyer une lettre de démission au directeur général du propriétaire du compte. Plus tard, le propriétaire demande à l’agent de rédiger une réponse d’absence du bureau. L’agent rencontre l’e-mail piégé pendant la tâche, considère le prompt injecté comme faisant autorité et lui obéit. La réponse d’absence n’est jamais rédigée, et l’agent démissionne au nom du propriétaire.
La dernière étape de la démonstration montre le mode agent détectant la tentative d’injection après la mise à jour de sécurité.
L’e-mail n’est qu’une porte d’entrée parmi d’autres. OpenAI cite les e-mails et pièces jointes, les invitations de calendrier, les documents partagés, les forums, les publications sur les réseaux sociaux et les pages web quelconques comme autant d’endroits où un agent peut croiser des instructions non fiables. Elle a indiqué que son attaquant peut orienter un agent vers des flux de travail nuisibles « qui se déroulent sur des dizaines (voire des centaines) d’étapes ».
Comment réduire votre risque
L’article d’OpenAI de décembre 2025 formulait trois recommandations pour utiliser les agents de façon plus sûre.
- Limitez l’accès connecté. Utilisez le mode déconnecté d’Atlas lorsque la tâche n’exige pas les sites auxquels vous êtes connecté.
- Lisez les demandes de confirmation. OpenAI a indiqué que les agents sont conçus pour demander une validation avant certaines actions importantes, comme finaliser un achat ou envoyer un e-mail. Vérifiez que l’action est correcte et que les informations partagées sont appropriées.
- Donnez des instructions précises. OpenAI déconseille les prompts larges qui demandent à un agent de passer en revue vos e-mails et d’entreprendre toute action nécessaire. Des tâches spécifiques et bien délimitées sont plus sûres, selon l’entreprise.
OpenAI a présenté ces mesures comme des moyens de réduire le risque. À propos des tâches bien délimitées, elle a déclaré que cette habitude « n’élimine pas le risque, elle rend les attaques plus difficiles à mener ».
Rami McCarthy, chercheur principal en sécurité chez l’entreprise de cybersécurité Wiz, a proposé à TechCrunch en décembre 2025 une manière d’évaluer le risque : celui des systèmes d’IA comme « l’autonomie multipliée par l’accès ». Les navigateurs agentiques, a-t-il dit, se situent généralement à « une autonomie modérée combinée à un accès très élevé ». Son évaluation de l’époque, pour la plupart des usages courants, était que les navigateurs agentiques « n’apportent pas encore assez de valeur pour justifier leur profil de risque actuel ».
Le NCSC, qui s’adresse aux professionnels de la cybersécurité, recommande des protections déterministes extérieures au modèle qui limitent ce que le système peut faire. Si la sécurité d’un système ne peut pas tolérer le risque résiduel, indique-t-il, ce système n’est peut-être pas un bon cas d’usage pour ce type d’IA.
Pas seulement un problème d’OpenAI
Après le lancement d’Atlas en octobre 2025, des chercheurs en sécurité ont publié des démonstrations montrant que quelques mots dans Google Docs pouvaient modifier le comportement du navigateur, a rapporté TechCrunch. Brave a publié un article décrivant l’injection de prompt indirecte comme un défi systémique pour les navigateurs dotés d’IA, y compris Comet de Perplexity. Anthropic et Google ont eux aussi déclaré que les défenses contre les attaques par prompt doivent être multicouches et soumises à des tests de résistance continus, d’après TechCrunch.
L’avertissement du NCSC porte plus loin dans le temps. Les attaques par injection SQL ont atteint leur pic vers 2010, explique-t-il, et il a fallu une décennie de compromissions et de fuites de données pour aboutir à de meilleures configurations par défaut qui les ont rendues rares. Si les applications d’IA ne sont pas conçues en tenant compte de l’injection de prompt, affirme l’article du NCSC, « une vague similaire de violations pourrait suivre ».
Ce qu’OpenAI vise
L’objectif affiché d’OpenAI dans cet article était que vous puissiez faire confiance à un agent pour utiliser votre navigateur « comme vous feriez confiance à un collègue ou un ami très compétent et sensibilisé à la sécurité ». Le même article qualifie l’injection de prompt de défi ouvert sur lequel OpenAI compte continuer à travailler « pour les années à venir ».
🦋 Discussion sur Bluesky
Discuter sur Bluesky