Alors que l’intelligence artificielle continue d’évoluer, elle ouvre de nouvelles voies pour les cyberattaques. Récemment, une découverte troublante a mis en lumière les dangers potentiels des navigateurs IA, avec le navigateur Comet de Perplexity au centre de l’attention. Une technique d’attaque innovante, appelée « CometJacking », exploite la confiance que les utilisateurs accordent à ces technologies pour dérober leurs données personnelles. Cet article explore les ramifications de cette découverte et les défis de sécurité qu’elle pose.
Résumé en 3 points
- Le CometJacking est une nouvelle méthode d’attaque exploitant le navigateur Comet pour voler des données personnelles.
- Cette technique utilise des liens malveillants pour contourner les protections de sécurité et accéder aux services connectés de l’utilisateur.
- Les navigateurs IA, tels que Comet, pourraient devenir des cibles majeures pour les cyberattaques futures.
CometJacking : une nouvelle méthode d’attaque
Des chercheurs en cybersécurité ont identifié une attaque inédite nommée « CometJacking ». Cette technique exploite le navigateur Comet de Perplexity pour accéder aux données des utilisateurs à l’aide de simples clics sur des liens malveillants. En contournant les protections déployées par Perplexity, cette attaque s’immisce dans la vie numérique des utilisateurs sans nécessiter le vol d’identifiants.
Le mécanisme repose sur l’injection de prompt, un procédé qui manipule l’agent IA du navigateur pour capturer les données des services connectés, tels que Gmail ou les calendriers. En utilisant des techniques classiques d’obfuscation, l’attaque se cache derrière des actions apparemment innocentes.
Fonctionnement et impact des attaques
Le processus commence par un clic sur un lien frauduleux, souvent diffusé par phishing. Ce lien contient des instructions cachées destinées à l’agent IA de Comet. L’URL malveillante utilise le paramètre « collection », forçant l’IA à puiser dans sa mémoire interne plutôt qu’à effectuer une recherche sur le web.
Cette manipulation active un prompt dissimulé qui ordonne au navigateur de récupérer les données de l’utilisateur. Les informations collectées sont ensuite encodées en Base64 et envoyées à un serveur contrôlé par l’attaquant. Cette méthode se passe de vol d’identifiants, car le navigateur dispose déjà des autorisations nécessaires pour accéder aux services de l’utilisateur.
Un défi pour la sécurité des navigateurs IA
Michelle Levy de LayerX a décrit cette attaque comme transformant un navigateur fiable en une « menace interne ». Comet n’est pas le seul navigateur IA vulnérable à de telles attaques. Les avancées en matière de fonctionnalités, comme les agents en arrière-plan récemment lancés par Perplexity, simplifient également la tâche des cybercriminels.
Des concepts similaires, comme l’attaque Scamlexity du Guardio Labs, ont déjà démontré les faiblesses des navigateurs IA face aux fausses boutiques en ligne et pages de phishing. Or Eshed, PDG de LayerX, a qualifié les navigateurs IA de « prochain champ de bataille des entreprises » dans le domaine de la cybersécurité.
Contexte et implications pour Perplexity
Perplexity, l’entreprise à l’origine du navigateur Comet, a réagi en qualifiant ces découvertes de sans impact sécuritaire majeur. Cependant, cette position est contestée par les experts en cybersécurité qui plaident pour l’implémentation de mesures capables de détecter et neutraliser les prompts malveillants.
La société Perplexity s’est positionnée comme un acteur clé dans le développement de navigateurs IA, cherchant à intégrer des fonctionnalités avancées pour améliorer l’expérience utilisateur. Néanmoins, cette ambition s’accompagne de défis en matière de sécurité, illustrant la nécessité pour l’industrie de renforcer ses protocoles de protection contre les nouvelles menaces.