Extensions de navigateur : Le canal de consommation d’IA que personne ne protège

La menace de l'IA se cache à la vue de tous.

Ces deux dernières années, les équipes de sécurité des entreprises se sont efforcées de contrôler l'utilisation de l'IA générative au sein de leurs organisations. Elles ont mis en place des politiques de sécurité concernant ChatGPT, restreint l'accès aux outils d'IA non autorisés et déployé des solutions de surveillance pour les plateformes d'IA générative non homologuées. Or, selon un nouveau rapport révélateur de la société LayerX, spécialisée dans la sécurité des navigateurs, une faille majeure subsiste dans la sécurité de l'IA de presque toutes les organisations : elle réside au sein même du navigateur.

Les extensions de navigateur basées sur l'IA sont discrètement devenues l'un des canaux de consommation de l'intelligence artificielle connaissant la croissance la plus rapide, et pratiquement personne dans la communauté de la sécurité ne les traite avec l'urgence qu'elles méritent.

Ce que le rapport LayerX a révélé

L'étude de LayerX dresse un tableau alarmant. L'entreprise a analysé le vaste écosystème des extensions de navigateur intégrant désormais des fonctionnalités d'IA : assistants de rédaction, outils de résumé, utilitaires de programmation, rédacteurs d'e-mails, etc. Leur constat : ces extensions disposent souvent d'autorisations extrêmement larges, leur permettant d'accéder à des données sensibles transitant quotidiennement par les navigateurs des employés.

Les principaux résultats sont les suivants :

• Les autorisations excessives sont la norme : de nombreuses extensions d’IA demandent l’accès à l’historique de navigation, au contenu des pages, aux cookies et même aux données du presse-papiers, bien au-delà de ce que leur fonctionnalité déclarée exige.
• La visibilité est quasi inexistante : les outils de sécurité des terminaux traditionnels et les solutions CASB inspectent ou recensent rarement les extensions de navigateur, créant ainsi un véritable angle mort pour les équipes d’opérations de sécurité.
• L'adoption est pilotée par les employés : contrairement aux outils SaaS agréés, la plupart des extensions d'IA sont installées par des utilisateurs individuels sans aucun processus de vérification ou d'approbation informatique.
• Le risque d'exfiltration de données est bien réel : les extensions ayant accès au contenu des pages peuvent lire et transmettre silencieusement des informations sensibles de l'entreprise (courriels, documents internes, données financières) vers des serveurs externes.

En résumé, chaque extension de navigateur IA dotée de permissions étendues constitue de fait un mini-flux de données reliant votre environnement d'entreprise à un tiers inconnu. Pour mieux comprendre comment les organisations gèrent ces risques, consultez notre article «  KiloClaw cible l'IA parallèle : maîtriser les risques liés à l'IA non autorisée » .

Pourquoi cela est plus important qu'on ne le pense

Si ce canal de consommation est passé inaperçu, c'est en partie pour des raisons structurelles. Les extensions de navigateur occupent une position délicate, à mi-chemin entre les logiciels de sécurité des terminaux et les applications web. Elles ne sont pas considérées comme des exécutables que les outils de détection et de réponse aux incidents (EDR) signalent généralement. Elles ne sont pas non plus considérées comme des services cloud que les courtiers de sécurité d'accès au cloud surveillent. Elles se trouvent dans un vide juridique en matière de gouvernance.

Et l'ampleur du problème augmente rapidement. Le Chrome Web Store à lui seul héberge des centaines de milliers d'extensions, et le sous-ensemble basé sur l'IA a explosé depuis début 2023. Nombre de ces outils sont conçus par de petits développeurs ou des entités inconnues, sans pratiques de sécurité publiées, sans certification SOC 2 et sans accord de traitement des données.

Imaginez ce qui se passe lorsqu'un analyste marketing installe une extension de résumé automatique par IA pour accélérer ses recherches. Cette extension peut avoir besoin de lire l'intégralité du contenu de chaque page web, y compris les tableaux de bord internes, les enregistrements CRM consultés dans un onglet du navigateur ou les documents stratégiques confidentiels partagés via Google Docs. Les données n'ont même pas besoin de quitter le navigateur de manière manifestement malveillante ; elles peuvent être intégrées à des données de télémétrie d'« analyse d'utilisation » ou d'« amélioration des modèles » et transmises discrètement.

Contexte plus large : La surface d’attaque croissante de l’IA

Cette révélation s'inscrit dans une tendance plus large que les professionnels de la cybersécurité dénoncent depuis l'essor de l'IA générative. Comme l'ont documenté Wired et d'autres publications majeures, chaque nouveau point d'intégration de l'IA crée une vulnérabilité potentielle. Des attaques par injection rapide contre les grands modèles de langage à l'empoisonnement des données dans les chaînes d'entraînement, le paysage des menaces se complexifie à chaque trimestre.

Les extensions de navigateur représentent un vecteur de danger particulièrement redouté car elles combinent trois caractéristiques que les équipes de sécurité redoutent : privilèges élevés, faible visibilité et adoption par les utilisateurs. Cette combinaison rend leur gestion quasi impossible avec les seuls outils traditionnels.

Les analystes du secteur ont établi des parallèles avec les débuts de l'essor du SaaS, lorsque les employés adoptaient les outils cloud plus vite que les services informatiques ne pouvaient les suivre. La différence aujourd'hui réside dans le fait que les extensions d'IA ne se contentent plus de stocker les données en externe ; elles les traitent activement et peuvent même en tirer des enseignements. Les conséquences en matière de protection de la propriété intellectuelle et de conformité réglementaire sont considérables, notamment pour les organisations soumises au RGPD, à la loi HIPAA ou à la réglementation des services financiers.

Ce que les responsables de la sécurité devraient faire dès maintenant

La bonne nouvelle, c'est que ce problème, bien que grave, est remédiable. Les organisations qui agissent rapidement peuvent prendre les devants avant qu'une faille de sécurité majeure ne les y contraigne. Voici un cadre de travail pratique pour commencer :

1. Auditez immédiatement vos extensions. Utilisez les outils de gestion des navigateurs (Chrome Enterprise, stratégies de gestion Edge) pour recenser toutes les extensions installées chez vos collaborateurs. Identifiez celles qui intègrent des fonctionnalités d'IA et les autorisations dont elles disposent.
2. Mettez en place une politique de liste blanche. Passez d'un modèle ouvert où chacun peut installer n'importe quelle extension à un modèle contrôlé où seules les extensions vérifiées sont autorisées. C'est la mesure la plus efficace que vous puissiez prendre.
3. Classez les extensions selon leur niveau de risque. Toutes les extensions d'IA ne présentent pas le même danger. Une extension qui modifie uniquement l'apparence d'une page web est très différente d'une extension qui lit tout le contenu de la page. Priorisez l'examen en fonction du niveau d'autorisation.
4. Sensibilisez vos employés. La plupart installent ces outils pour gagner en productivité, et non pour prendre des risques. Orientez la discussion autour de la protection des données de l'entreprise et des données personnelles des employés.
5. Surveillez les flux de données anormaux. Déployez une surveillance au niveau du réseau pour détecter les schémas de trafic sortant inhabituels pouvant indiquer une exfiltration de données via une extension.

Pour découvrir d'autres stratégies de sécurisation de votre périmètre numérique, consultez nos recommandations sur les défis de la gouvernance de l'IA agentique dans le cadre de la loi européenne sur l'IA de 2026 .

Et ensuite ?

Ce débat devrait s'accélérer considérablement dans les prochains mois. À mesure que les organisations prendront conscience de l'ampleur de l'adoption des extensions d'IA au sein de leurs environnements, les investissements des fournisseurs dans les contrôles de sécurité au niveau du navigateur exploseront. LayerX se positionne résolument sur ce marché, mais il faut s'attendre à ce que ses concurrents suivent rapidement.

Les organismes de réglementation devraient également s'y intéresser. La loi européenne sur l'IA établit déjà des cadres d'évaluation des risques pour les systèmes d'IA, et ce n'est qu'une question de temps avant que les outils d'IA accessibles via navigateur ne soient soumis à un examen approfondi. Aux États-Unis, des agences comme la CISA se concentrent de plus en plus sur les risques liés à la chaîne d'approvisionnement des logiciels, et les extensions constituent fondamentalement un problème de chaîne d'approvisionnement.

Le problème de fond est culturel. La communauté de la cybersécurité s'est tellement focalisée sur les risques médiatisés que représentent les grands modèles de langage et les plateformes d'IA d'entreprise qu'une menace plus discrète, et sans doute plus immédiate, s'est développée sans contrôle. Les extensions de navigateur basées sur l'IA constituent un canal de consommation qui allie facilité d'accès, puissance et faible surveillance — une combinaison que les cybercriminels affectionnent particulièrement.

En résumé

Si la stratégie de sécurité de votre organisation en matière d'IA ne prévoit pas de plan spécifique pour les extensions de navigateur, vous avez une faille, point final. Ces outils sont déjà installés sur les ordinateurs de vos employés, ils lisent déjà des données sensibles et transmettent déjà des informations à des serveurs que vous n'avez pas évalués. Il est urgent de combler cette lacune, pas au prochain trimestre ni lors du prochain cycle budgétaire. Il est urgent d'agir.

Les entreprises qui font de la gouvernance des extensions d'IA une priorité aujourd'hui seront celles qui éviteront demain les douloureuses révélations de violations de données. Toutes les autres l'apprendront à leurs dépens.