Tout ce qui touche à l’IA atteint petit à petit tous les types de programmes et de plateformes. Bien entendu, et comme nous l’avons vu ces derniers mois, cela s’applique même aux navigateurs web actuels.
Un exemple clair de tout cela se trouve dans Comet, un programme de ce type dont le fonctionnement est essentiellement axé sur le utilisation de l'intelligence artificielle. Et outre les fonctions supplémentaires apportées aux Chrome ou Edge habituels, certains développeurs lancent leurs propres navigateurs basés sur l'IA.
Nous vous avons déjà parlé à plusieurs reprises de ce qui précède Comètemais on a récemment découvert qu'il existe un grave problème de sécurité. Nous vous disons tout cela car le navigateur avec Intelligence Artificielle, développé par Perplexitépermet aux extensions de navigateur intégrées, mais cachées à l'utilisateur, d'envoyer des commandes à l'ordinateur.
Risques des extensions de comètes cachées
Et le pire de tout, c’est que cela permet à des attaquants potentiels de profiter de cette vulnérabilité pour réaliser de multiples tâches malveillantes. Il faut savoir que le navigateur Comet susmentionné peut exécuter des applicationslire des fichiers et modifier des données dans le système. Alors que les navigateurs traditionnels bloquent généralement ce niveau d'accès, certains navigateurs basés sur l'IA violent cette couche d'isolation.
Par exemple, deux extensions intégrées au programme Perplexity susmentionné ont désormais été localisées, Analyse des comètes et Comète Agentiquequi n'apparaissent pas dans le panneau des extensions. Cela signifie qu'ils sont masqués aux utilisateurs et ne peuvent pas être désactivés. Eh bien, les deux éléments logiciels vous permettent d'exécuter des commandes arbitraires sur l'ordinateur.
Pour le moment, les deux extensions ne peuvent communiquer qu'avec les sous-domaines perplexity.ai, limitant l'accès à l'API. Cependant, il n’est pas clair comment l’API est utilisée ni si ces autorisations seront étendues à d’autres sites Web. Le problème se pose car si un attaquant accède au domaine perplexity.ai ou à une extension intégrée qui répond aux exigences, il pourrait utiliser cette API pour contrôler l'ordinateur de la victimeinstallez des logiciels malveillants, extrayez des données et bien plus encore.
En bref, un attaquant pourrait parvenir au même résultat en usurpant l'identité de l'application. Analyse des comètescomme nous le disent les experts. Et, apparemment, l'extension malveillante hérite de toutes les autorisations de l'extension Analytics d'origine et injecte un script malveillant sur la page perplexity.ai qui passe à l'extension Agentic. Le second suit les instructions et invoque l’API pour exécuter un ransomware par exemple.
Ce que dit Perplexity à propos de ces risques dans le navigateur
Nous devons garder à l’esprit qu’à l’heure actuelle, rien n’indique que la société Perplexity utilise à mauvais escient l’API que nous mentionnons ici. Cependant, cela pourrait mettre les utilisateurs en danger, d’autant plus qu’ils ne peuvent pas voir ou désactiver ces extensions.
| Composant impliqué | Autorisation exploitée | Impact potentiel sur l'utilisateur |
|---|---|---|
| Comète Agentique | Exécuter des commandes système | Installation de ransomware, vol de fichiers locaux, contrôle à distance de l'ordinateur. |
| Analyse des comètes | Accès aux données de navigation | Vol de cookies de session, usurpation d'identité dans les comptes en ligne, accès aux historiques. |
Grâce à ces découvertes, l'entreprise elle-même a déjà été informée de tout cela, mais n'a pas répondu officiellement. Bien entendu, la firme a lancé une mise à jour sans rien communiquer aux utilisateurs, ce qui désactivé l'API ce qui pourrait provoquer une faille de sécurité. Cette voie d’attaque est donc pour l’instant fermée. Ce qui est difficile à savoir, c'est comment une telle désactivation affectera la fonctionnalité du navigateur en tant que telle.
Cette mise à jour n'a pas encore été documentée publiquement, on ne sait donc pas quelle sera la prochaine étape de Perplexity à cet égard. Le problème est qu'une bonne partie du Navigateurs IApeut effectuer des tâches au nom des utilisateurs. Ils accèdent souvent à des niveaux plus profonds du système d’exploitation que les navigateurs traditionnels, ce qui peut présenter un risque sérieux.
Il convient de noter que Perplexity a désormais corrigé cette vulnérabilité à partir de la version 3.8.1 de Comet. Pour garantir que notre navigateur est mis à jour et protégé, il suffit de suivre ces étapes. Nous ouvrons le menu du programme et allons dans Paramètres / À propos de Comet. Ici, nous pouvons vérifier la version où nous nous assurons que nous avons la version égale ou supérieure à 3.8.1. Sinon, nous mettons à jour et redémarrons le navigateur pour que les modifications prennent effet.