La navigation agentique est arrivée, mais est-elle sûre ?

Robert KustersResponsable senior du marketing produit | F5

Adam MartinettiChef de produit principal | F5

Au cours de l’année écoulée, les responsables de la sécurité des systèmes d’information (RSSI) ont observé l’essor de la navigation agentique avec autant de curiosité que d’inquiétude. Contrairement aux navigateurs traditionnels, les navigateurs agentiques ne se contentent pas de charger une page web : ils agissent sur celle-ci. Ils lisent du contenu, cliquent sur des liens, résument des documents, extraient des données, remplissent des formulaires et effectuent même des achats pour le compte des utilisateurs. En somme, ces navigateurs « surfent sur le web à votre place » et accomplissent des tâches de manière autonome, comme envoyer des e-mails, créer des événements dans un calendrier ou même faire des achats.

Alors que F5 Distributed Cloud Bot Defense analyse les schémas de trafic sur des applications réelles, une question revient sans cesse chez les responsables de la sécurité : en quoi la navigation agentique diffère-t-elle de la navigation traditionnelle, et entraîne-t-elle davantage d’abus et de risques ?

D’après des recherches indépendantes et publiquement documentées sur les navigateurs agentiques, la réponse semble être oui : la navigation agentique crée de nouveaux vecteurs d’abus et accroît les risques, car ces outils interprètent les contenus propriétaires et tiers comme des instructions littérales. Ils peuvent donc être détournés afin d’effectuer des actions malveillantes à l’aide des identifiants existants d’un utilisateur.

Comment la navigation agentique modifie le modèle de menace

Les navigateurs traditionnels affichent du contenu et s’appuient sur les décisions humaines pour agir. Les navigateurs agentiques, quant à eux, associent par conception la perception (lecture et compréhension) à l’exécution (réalisation d’actions). Cette combinaison redéfinit le périmètre de confiance : ce qui semble être un contenu inerte pour un humain peut devenir une instruction exécutable pour un agent d’IA. Des chercheurs ont démontré que des attaquants pouvaient dissimuler des instructions dans des URL, du code HTML, des commentaires et même des captures d’écran. Lorsqu’un agent les traite, ces instructions peuvent être exécutées au sein de sessions authentifiées.

C’est précisément pour cette raison qu’il est important de distinguer le trafic agentique du trafic humain. Les sessions agentiques ont tendance à présenter des comportements non humains (analyse à la vitesse d’une machine, interactions autonomes avec les formulaires, navigation non linéaire), ce qui permet aux systèmes de lutte contre les bots de les détecter et de les traiter différemment — un contrôle essentiel à mesure que l’écosystème se sécurise.

Exemples d’attaques ciblant le comportement agentique

Voici quelques-uns des risques en matière de sécurité et de confidentialité introduits par les navigateurs agentiques.

Le CometJacking est une méthode d’injection de prompt dans laquelle une URL malveillante transforme secrètement un assistant de navigation utile en voleur de données, en utilisant une seule URL comme instruction d’exfiltration de données. Le lien contient des commandes cachées demandant à l’agent de collecter des données (telles que des e-mails et des entrées de calendrier), de les masquer (par exemple à l’aide d’un encodage Base64) et de les exfiltrer vers un point de terminaison contrôlé par un attaquant. Il n’est pas nécessaire de dérober des identifiants, puisque l’agent dispose déjà d’un accès légitime.

Les instructions cachées intégrées aux pages web constituent un autre risque de sécurité. Lorsque les utilisateurs demandent à un navigateur de « résumer cette page web », celui-ci peut envoyer du contenu à son LLM sans distinguer de manière fiable le contenu non fiable de la page — qui peut contenir des instructions intégrées — des commandes de l’utilisateur. Cela permet à des injections indirectes de prompts, par le biais de texte invisible ou masqué, d’accéder à des adresses e-mail et à des mots de passe à usage unique, et d’effectuer des actions non autorisées dans différents onglets.

Les attaques stéganographiques par capture d’écran se produisent lorsque la fonction de reconnaissance optique de caractères (OCR) appliquée aux captures d’écran d’un navigateur détecte du texte caché, lisible par une machine mais invisible à l’œil humain. Une fois extraites par OCR, ces « instructions fantômes » sont interprétées comme des commandes, contournant les protections traditionnelles du navigateur (telles que la politique de même origine) et permettant des accès non autorisés ainsi que le vol de données. Un site web qui affiche des images provenant de sources tierces peut ainsi faire l’objet d’une attaque active sans qu’aucune différence perceptible n’apparaisse dans le contenu qu’il propose.

Ces exemples d’attaques visant le comportement agentique mettent en évidence des problèmes systémiques — et non isolés — inhérents à la navigation agentique : la combinaison des canaux de contenu et de commande ouvre la voie à l’injection de prompts et au détournement d’instructions, à moins que des limites strictes ne soient mises en place. De nombreux navigateurs natifs de l’IA restent insuffisamment « éprouvés sur le terrain », et cette vulnérabilité pourrait s’étendre à toute application ou tout connecteur intégré.

Le principal enseignement ? La navigation traditionnelle ne traite pas le contenu comme des commandes, contrairement à la navigation agentique. Or, des recherches récentes indiquent que des attaquants peuvent exploiter cette différence.

Le trafic généré par l’IA agentique est probablement déjà présent sur votre réseau ; il est essentiel d’en améliorer la visibilité et d’atténuer les menaces afin de vous protéger contre toute utilisation malveillante.

Bonnes pratiques pour atténuer les risques liés à la navigation agentique

Compte tenu des attaques avérées contre les navigateurs agentiques et de la probabilité que des risques similaires existent pour d’autres outils agentiques, les RSSI devraient adopter une politique explicite et un cadre de contrôle pour la navigation agentique.

• Mettre en place des contrôles d’accès et des règles de sécurité. Cela implique de restreindre l’utilisation des navigateurs agentiques ou de ne les autoriser que sous certaines conditions. Veillez à établir des listes explicites d’autorisation et de refus pour les navigateurs pilotés par l’IA au niveau de la périphérie du réseau, des pare-feu d’applications web (WAF) et des couches applicatives. Considérez les clients agentiques comme présentant un risque accru en raison de leurs actions autonomes et de leur traitement des instructions. Exigez également une authentification renforcée pour les opérations sensibles. Déclenchez une authentification multifacteur (MFA) ou une nouvelle autorisation pour les exportations de données, les modifications de profil ou d’identifiants, les opérations de paiement et les actions administratives, afin de limiter les dommages si un agent est détourné au cours d’une session authentifiée.
• Détecter et surveiller. Exploitez Distributed Cloud Bot Defense pour détecter et classifier le trafic agentique en distinguant les sessions humaines des sessions agentiques à l’aide d’indicateurs comportementaux et fondés sur des signaux. Appliquez des politiques adaptatives aux sessions agentiques. Mettez également en place une surveillance continue des anomalies comportementales afin de repérer les séquences trop rapides ou trop régulières pour être humaines. Associez-la à une évaluation des risques pour déclencher des vérifications ou contenir les sessions temporaires.
• Renforcez la sécurité au niveau de l’application. Veillez à valider toutes les requêtes qui modifient l’état et à appliquer des contrôles côté serveur (sans jamais vous fier uniquement aux signaux du client). Cela réduit le taux de réussite des attaques par instructions dissimulées qui incitent les agents à effectuer des actions malveillantes. Limitez le débit des points de terminaison sensibles afin de restreindre les tentatives d’authentification, les opérations financières et les points de terminaison d’exportation/de téléchargement, et ainsi freiner les abus automatisés exécutés à la vitesse des machines.
• Réduisez au minimum l’exposition des données sensibles dans chaque vue. Concevez les pages de sorte que les agents ne puissent pas extraire d’énormes quantités de données sensibles en une seule requête. En outre, recensez les outils d’IA et les navigateurs agentiques, et tenez à jour une cartographie des terminaux et des applications indiquant quels outils d’IA sont installés et à quels systèmes ils peuvent accéder. Intégrez cette démarche à la gestion de votre surface d’attaque.
• Utilisez des tactiques de red team contre les menaces agentiques. Ajoutez à votre programme de sécurité offensive des scénarios de test portant sur l’injection indirecte de prompts, les charges utiles stéganographiques, les paramètres d’URL malveillants et l’extraction de données entre onglets. Cela permet de mettre en évidence les lacunes des contrôles propres à la navigation agentique. Découvrez F5 AI Red Team pour identifier les surfaces d’attaque et déployer des agents qui ciblent les vulnérabilités des modèles et applications d’IA.

La navigation agentique exige une nouvelle posture de défense

Parce que la navigation agentique génère des schémas distinctifs, tels qu’une temporalité non humaine, une navigation autonome et des boucles répétées de synthèse ou d’extraction, Distributed Cloud Bot Defense peut identifier ces sessions et réagir de manière appropriée en renforçant l’authentification, en limitant le débit, en réduisant les fonctionnalités ou en les bloquant purement et simplement, selon le niveau de risque. Cette visibilité est essentielle à mesure que l’écosystème agentique évolue et que les éditeurs de navigateurs comprennent mieux l’isolation des contenus.

Les exploits mentionnés visant les navigateurs agentiques, notamment les URL malveillantes, les instructions dissimulées dans les pages et les invites stéganographiques intégrées aux captures d’écran, montrent que la navigation agentique introduit des risques que la sécurité web traditionnelle n’a pas été conçue pour gérer. Dans les modèles agentiques, un contenu apparemment inoffensif peut se transformer en instructions exécutables, et une session authentifiée peut faire d’un agent d’IA une puissante menace interne.

Tant que les navigateurs agentiques n’auront pas mis en place une séparation stricte entre le contenu et les commandes, les RSSI devront considérer par défaut ces clients comme présentant un risque élevé, appliquer des politiques claires et s’appuyer sur la solution avancée de protection contre les bots de F5 pour détecter et gérer le trafic agentique. La visibilité comme l’application de ces politiques sont essentielles dans cette nouvelle ère.

Évaluez votre exposition dès aujourd’hui —planifiez une évaluation des risques liés aux agents IA avec notre équipe de sécurité.

À propos des auteurs

Robert KustersResponsable senior du marketing produit | F5

Autres articles de Robert Kusters

Adam MartinettiChef de produit principal | F5

Autres articles de Adam Martinetti