Les navigateurs d'IA ont besoin d'un nouveau modèle de sécurité

Le navigateur Web a passé des décennies à accomplir une tâche assez simple. Il affiche des sites Web, stocke des sessions et des mots de passe, télécharge des fichiers et permet aux utilisateurs de naviguer entre des services en ligne. L'IA commence à changer ce rôle.

Un navigateur doté d'un agent d'IA peut lire des pages, comparer des informations, remplir des formulaires, travailler sur plusieurs onglets et interagir avec des services où l'utilisateur est déjà connecté. En lui donnant suffisamment d'accès, il peut passer de la recherche d'un hôtel à sa réservation, de la lecture d'une facture à la saisie de ses détails dans un logiciel de comptabilité, ou de la consultation d'un e-mail à la mise à jour d'un dossier client.

Cette capacité rend l'IA basée sur le navigateur exceptionnellement utile. Elle crée également un problème de sécurité que les autorisations de navigateur conventionnelles n'ont jamais été conçues pour résoudre.

La sécurité logicielle traditionnelle demande principalement ce qu'une application peut accéder. La sécurité agentique doit également demander ce que le logiciel peut décider de faire avec cet accès.

Le navigateur prend soudainement le pouvoir

La plupart des gens donnent déjà à leur navigateur accès à une quantité extraordinaire d'informations privées. Les comptes de messagerie, le stockage cloud, les tableaux de bord d'entreprise, les services de paiement, les réseaux sociaux et les gestionnaires de mots de passe se trouvent souvent derrière des sessions de navigation actives.

Jusqu'à récemment, le navigateur lui-même décidait rarement de ce qui s'y passait. La personne cliquait sur le bouton.

Un agent d'IA modifie cette relation car il peut interpréter une instruction et la traduire en une séquence d'actions. Une demande telle que “ trouve les factures du mois dernier et organise-les ” peut impliquer la recherche dans les e-mails, l'ouverture de pièces jointes, le téléchargement de fichiers, la lecture d'informations financières et le placement de documents dans une autre application.

Chaque action individuelle peut sembler ordinaire. La question de sécurité émerge de la combinaison.

Un employé pourrait raisonnablement avoir accès à sa messagerie et à une plateforme financière tout en ayant l'interdiction de transférer certaines informations entre les deux. Un agent de navigation pouvant techniquement posséder un accès aux deux systèmes, les entreprises ont besoin de contrôles qui comprennent la différence entre l'autorisation de consulter des informations et l'autorisation d'agir en conséquence.

Cette distinction façonnera la prochaine étape du déploiement de l'IA en entreprise.

L'injection de requêtes devient plus dangereuse lorsque l'IA peut agir

Les grands modèles de langage peuvent être manipulés par des instructions intégrées dans le matériel qu'ils lisent. Les chercheurs en sécurité appellent une forme de ce problème l'injection de requêtes.

Avec un chatbot conventionnel, une instruction malveillante cachée sur une page Web peut fausser une réponse. Le résultat peut être ennuyeux, trompeur ou dangereux, selon la situation.

Un agent de navigation crée une surface d'attaque plus vaste car le modèle peut également posséder des outils.

Imaginez que vous demandiez à un agent de rechercher des fournisseurs. Le site Web d'un fournisseur contient du texte masqué conçu pour influencer les systèmes d'IA. L'instruction indique à l'agent d'ignorer sa tâche précédente, de récupérer des informations à partir d'un autre onglet ouvert et de les soumettre via un formulaire.

Un agent correctement sécurisé devrait rejeter l'instruction. Les entreprises ne peuvent pas baser leur modèle de sécurité sur cette seule hypothèse.

Les développeurs de logiciels ont passé des décennies à séparer les données des instructions exécutables pour de bonnes raisons. Les agents d'IA brouillent partiellement cette frontière parce qu'ils interprètent le langage naturel provenant de plusieurs sources à la fois : l'utilisateur, les sites Web, les documents, les interfaces d'application et les interactions précédentes.

Le navigateur doit donc traiter le contenu externe comme une entrée non fiable, même lorsque le modèle de langage trouve ce contenu persuasif.

Les autorisations doivent devenir plus spécifiques

Les autorisations logicielles actuelles ont tendance à fonctionner au niveau de l'application. Un utilisateur accorde l'accès à une caméra, un microphone, un emplacement ou un dossier. Les administrateurs d'entreprise peuvent également restreindre les sites Web, les extensions et le comportement d'authentification.

La navigation autonome nécessite un modèle plus détaillé.

Une entreprise peut autoriser un agent IA à lire des informations de son CRM tout en l'empêchant de supprimer des enregistrements. Elle peut lui permettre de préparer un e-mail tout en exigeant une validation humaine avant son envoi. Les équipes financières pourraient autoriser l'extraction de factures tout en bloquant les paiements. Les systèmes d'achats pourraient permettre des recherches de produits sans autoriser les commandes.

Ces distinctions transforment “ l'accès à l'IA ” en plusieurs autorisations distinctes.

Lire : l'agent peut inspecter les informations.

Écrire l'agent peut créer ou modifier des informations.

Communiquer l'agent peut envoyer des messages ou soumettre des formulaires.

Effectuer une transaction l'agent peut effectuer des achats, des paiements ou des engagements contractuels.

Supprimer : l'agent peut supprimer des informations ou des dossiers.

S'authentifier l'agent peut utiliser des identifiants ou accéder à un autre service pour le compte de l'utilisateur.

Les entreprises auront probablement besoin de combinaisons de ces autorisations plutôt que d'un simple commutateur étiqueté activé par l'IA.

Les actions les plus sensibles peuvent ensuite déclencher une étape d'approbation. Un humain voit ce que l'agent a l'intention de faire, quel compte il prévoit d'utiliser et quelles informations vont quitter le système avant d'autoriser l'action.

Une bonne conception de la sécurité rend ces interruptions sélectives. Exiger une approbation après chaque clic éliminerait une grande partie de l'efficacité qui rend la navigation agentique attrayante. Autoriser automatiquement chaque action conférerait à un logiciel probabiliste un niveau d'autorité inconfortable.

L'identité crée une autre complication

Les agents de navigation soulèvent également une question étonnamment fondamentale : qui a exécuté l'action ?

Lorsqu'un employé met à jour manuellement le dossier d'un client, la piste d'audit peut attribuer la modification à cet employé. Lorsqu'un agent IA agit par le biais de la session authentifiée de l'employé, le système peut tout de même enregistrer l'employé comme l'acteur même si le logiciel a sélectionné et exécuté l'action.

Cela devient difficile lorsque des équipes enquêtent sur une erreur.

Les systèmes d'entreprise devront faire la distinction entre les actions effectuées directement par une personne et les actions déléguées à un agent. Les journaux d'événements doivent enregistrer l'utilisateur à l'initiative, le système d'IA, l'instruction qu'il a reçue, les outils auxquels il a accédé et l'action qu'il a accomplie.

Sans ces informations, les entreprises risquent de découvrir qu'elles ont automatisé le travail plus rapidement qu'elles n'ont automatisé la responsabilité.

Le même principe s'applique aux agents partagés. Une entreprise finira par exploiter des agents qui desservent un service plutôt qu'un employé individuel. Ces systèmes nécessiteront leurs propres identités, permissions et registres d'audit de la même manière que le font déjà les comptes de service.

Les navigateurs IA obligeront les entreprises à classifier les actions

La façon la plus simple d'adopter l'IA dans le navigateur est de se concentrer sur le modèle : sa précision, sa rapidité d'exécution et le plaisir qu'ont les employés à l'utiliser.

Les équipes de sécurité doivent plutôt examiner les actions.

La lecture d'une page Web publique comporte peu de risques organisationnels. La lecture d'un contrat interne en comporte davantage. La modification d'un dossier client ajoute un autre niveau d'exposition. L'envoi d'informations en dehors de l'entreprise ou l'engagement de dépenses introduit une catégorie tout à fait différente.

Les entreprises peuvent classifier ces actions avant de choisir le niveau d'autonomie à accorder.

Le travail à faible risque peut s'exécuter automatiquement. Les actions à risque modéré peuvent nécessiter un journal d'activité plus strict ou des destinations restreintes. Les actions à haut risque peuvent nécessiter une approbation humaine explicite ou rester indisponibles pour l'agent.

Cette approche aide également les entreprises à éviter un problème courant avec les nouvelles technologies : imposer des restrictions si larges que les employés se contentent de les contourner.

Un navigateur IA qui ne peut accéder à rien d'utile ne deviendra pas plus sûr. Les employés risquent plutôt de copier des informations confidentielles dans des outils moins contrôlés. Des autorisations granulaires permettent aux équipes de sécurité de protéger les actions sensibles tout en maintenant disponibles les fonctionnalités de productivité ordinaires.

Le navigateur pourrait devenir l'une des interfaces les plus utiles de l'IA

Les entreprises d'intelligence artificielle ont passé des années à essayer de créer des assistants qui s'intègrent aux logiciels existants. Les agents de navigation offrent une autre voie, car une grande partie du travail moderne se déroule déjà dans le navigateur.

Ils n'ont pas besoin que chaque entreprise remplace son CRM, son système comptable, sa plateforme de voyage ou son logiciel de gestion de projet. L'agent peut fonctionner à travers les interfaces que les employés utilisent déjà.

Cela fait du navigateur un endroit inhabituel et puissant pour l'IA. Cela place également l'agent à proximité des identifiants, des informations d'entreprise et des systèmes capables de produire des conséquences dans le monde réel.

Le navigateur IA performant aura donc besoin de plus que de solides capacités de raisonnement. Il lui faudra des autorisations précises, des approbations visibles, des pistes d'audit fiables et des frontières claires entre les informations que l'agent peut lire et les actions qu'il peut exécuter.

Le navigateur a passé ses premières décennies à aider les gens à naviguer sur le web.

Son prochain travail pourrait être de nous aider à naviguer sur le Web grâce à des logiciels. L'architecture de sécurité déterminera la liberté que nous sommes prêts à lui accorder.