Ombre AI et extensions de navigateur malveillant comme nouveau front des lacunes de données

Chaque année le rapport de Verizon sur les violations des données fonctionne comme un point de comparaison incontournable pour l'industrie; sa valeur réelle est souvent à la convergence des signaux: lorsque plusieurs sources indépendantes, de la télémétrie du navigateur aux ensembles de données DLP, indiquent les mêmes changements structurels dans la tactique des attaquants. En 2026 cette convergence est claire : la surface d'attaque a été déplacée de façon décisive vers le navigateur et les services IA accessibles à partir de celui-ci, avec des implications pratiques que de nombreuses équipes de sécurité n'étaient pas prêtes à gérer.

L'un des résultats les plus frappants est le boom de ce qu'on appelle « Shadow AI » : l'utilisation non autorisée des services d'AI par les employés qui ont recours à des comptes personnels ou non gouvernementaux pour résoudre des tâches immédiates. Selon les données agrégées, une grande majorité de l'accès aux IA dans les appareils d'entreprise provient de comptes personnels et un pourcentage important d'invites avec des données sensibles circule en dehors du champ d'application des politiques d'entreprise de DLP. Cela transforme les outils de productivité en canaux de fuite de données et nécessite des contrôles autres que les contrôles traditionnels du réseau ou des paramètres.

La liste ci-dessus indique le problème persistant du vol d'identités. Le DBIR 2026 signale qu'une partie pertinente des lacunes provient de l'abus de pouvoirs, et la télémétrie par navigateur montre que de nombreuses tentatives de vol se produisent totalement invisibles pour les mandataires, les filtres DNS et les agents de fin de carrière. Si la page malveillante est rendue et que l'utilisateur interagit dans le navigateur, c'est le seul point où l'attaque laisse généralement des signaux fiables.

Les extensions de navigateur apparaissent comme un vecteur critique et mal gouverné : elles peuvent lire et modifier le contenu de la page et les données d'exfiltre sans être détectées par les outils traditionnels. Le fait que la plupart des extensions de bonne réputation sont qualifiées de «productivité» dans les marques indique que les politiques fondées sur les catégories sont insuffisantes. La gouvernance des prorogations et la capacité d'évaluer les autorisations et la réputation ne doivent plus être des tâches ponctuelles et deviennent des contrôles systématiques au sein des politiques de sécurité.

Un mode émergent d'ingénierie sociale native du navigateur, appelé ClickFix, émerge également qui commence sur le web, mais se déplace rapidement vers l'hôte pour exécuter le code malveillant ou installer des info-stealers. Bien qu'il représente aujourd'hui une faible fraction de toutes les attaques détectées, son évolution est inquiétante parce qu'il explore la confiance des utilisateurs dans le navigateur comme un environnement de travail. Protéger l'interaction humaine dans le navigateur est, dans de nombreux cas, la différence entre détecter une tromperie ou réagir après que l'hôte a déjà été compromis.

Quelles leçons pratiques puis-je tirer de cette convergence? Premièrement, en fonction exclusivement de la télémétrie, du paramètre ou de l'identité du réseau, le programme de sécurité est aveugle à de nombreuses techniques actuelles. Deuxièmement, que les solutions devraient intégrer la détection et le contrôle dans le calque du navigateur: enregistrer l'exfiltration des invites aux services IA, inspecter les comportements d'extension, et analyser les interactions DOM qui précèdent les téléchargements locaux ou les exécutions.

En termes opérationnels, il s'agit de combiner gouvernance et technologie : imposer l'authentification de l'entreprise et SSO pour l'accès aux IA, mettre en œuvre des politiques de prévention de la perte de données qui fonctionnent dans le navigateur (pas seulement en transit), auditionner et limiter les extensions pour la permission et la réputation, et déployer des capteurs qui corrélent les événements de navigation avec l'activité des terminaux. Aucune de ces mesures n'élimine le risque, mais ensemble, réduisent les fenêtres d'exposition où les attaquants ont appris à opérer.

Il est également essentiel de réévaluer la formation et les processus. Le "problème humain" reste présent, mais il ne s'agit pas seulement d'une question de sensibilisation : les attaquants conçoivent des pages qui évitent les scanners automatisés et manipulent de vrais flux de travail. La formation doit s'accompagner de contrôles techniques qui réduisent la nécessité pour les utilisateurs de prendre des décisions risquées., par exemple en autorisant des services IA approuvés et en bloquant les frais sur les comptes personnels à partir des appareils de l'entreprise.

Pour ceux qui gèrent les programmes de sécurité de l'entreprise, commencer par l'instruction et la vérification : effectuer une évaluation qui comprend la visibilité du navigateur, vérifier combien d'extensions à risque élevé sont déployées et mesurer la quantité d'information sensible envoyée aux services d'IV non gouvernementaux. Un bon point de départ est de comparer les données avec les sources externes telles que le rapport de Verizon sur les violations des données ( DBIR de Verizon) et pour compléter cette image par l'analyse de la télémétrie par navigateur (p. ex. état de sécurité du navigateur 2026). Une autre référence utile pour comprendre les fichiers et la détection de domaine est VirusTotal ( VirusTotal), ce qui illustre pourquoi de nombreux sites malveillants ne sont pas visibles par tous les fournisseurs en même temps.

La conclusion est claire: le navigateur a cessé d'être une simple application client et est devenu le principal environnement de travail pour la plupart des utilisateurs. Si vous ne surveillez pas, contrôlez et auditez ce qui se passe dans les sessions du navigateur, vous aurez une collection de points aveugles que les attaquants exploiteront régulièrement.. La bonne nouvelle est que l'industrie dispose déjà de signaux et d'outils pour agir; la décision est d'appliquer ces contrôles maintenant ou d'attendre le prochain incident pour forcer le changement.