Depuis la rentrée 2025, une nouvelle catégorie de produits a changé la nature du risque numérique : les navigateurs IA agentiques. Contrairement à un chatbot classique qui se contente de répondre dans une fenêtre de discussion, ces agents cliquent, remplissent des formulaires, changent d’onglet et agissent avec les sessions déjà connectées de l’utilisateur, y compris sa boîte mail ou son compte bancaire. Cette autonomie a un prix : elle démultiplie la surface d’attaque face à l’injection de prompt, cette technique qui consiste à cacher des instructions malveillantes dans une page web pour détourner le comportement de l’agent.
Ce comparatif se concentre sur un terrain encore peu balisé en France : non pas les grands modèles de langage pris isolément, mais les navigateurs et extensions qui leur donnent les mains libres sur le web. ChatGPT Atlas, Perplexity Comet, Gemini dans Chrome, Copilot Mode dans Edge et Opera Neon sont les cinq noms qui structurent ce marché en octobre 2026. Entre le repli annoncé d’Atlas, les restrictions géographiques qui frappent Gemini et les études académiques qui pointent des failles communes à presque tous les agents testés, le choix d’un navigateur IA en France et en Europe reste aujourd’hui un pari calculé plutôt qu’une certitude de sécurité.
Cette distinction entre modèle et navigateur agentique n’est pas qu’un détail technique. Un particulier qui compare les taux de réussite d’attaque de Claude, de Gemini ou de GPT sur un benchmark académique évalue un risque abstrait, mesuré en laboratoire. Un salarié ou un consommateur qui installe ChatGPT Atlas, Perplexity Comet ou Opera Neon sur son ordinateur professionnel expose, lui, des sessions réelles : sa messagerie d’entreprise, son compte bancaire, ses identifiants de commerce en ligne. C’est cette bascule du risque théorique au risque opérationnel qui justifie un comparatif à part entière sur les navigateurs IA, distinct de l’évaluation pure des modèles qui les font fonctionner.
Les agents de navigation IA, le nouveau front de la cybersécurité en 2026
Un agent de navigation IA diffère d’un assistant conversationnel sur un point précis : il agit. Là où ChatGPT, Claude ou Gemini se bornent historiquement à produire du texte, les navigateurs agentiques peuvent cliquer sur un bouton, saisir du texte dans un champ, changer d’onglet, utiliser une session déjà authentifiée et, dans certains cas, interagir avec des achats, des courriels ou des fichiers stockés localement. Cette capacité d’action transforme un simple texte affiché sur une page web en commande potentiellement exécutable.
C’est précisément ce qui rend ces produits plus exposés que les chatbots classiques. Un modèle de langage qui ne fait que répondre à une question ne peut, au pire, que produire un texte trompeur. Un agent qui navigue pour le compte de l’utilisateur, lui, peut valider un paiement, envoyer un message ou modifier un paramètre de compte si une page malveillante parvient à lui faire croire que ces actions ont été demandées par son propriétaire légitime. La différence entre lire une instruction et l’exécuter est au cœur de tous les travaux de sécurité publiés sur le sujet depuis le lancement des premiers agents autonomes.
En France et dans le reste de l’Union européenne, ce marché reste fragmenté. Certaines fonctions agentiques sont réservées à des marchés précis, d’autres sont conditionnées à des abonnements coûteux, et la couverture médiatique française de ces produits reste largement dépendante de la traduction d’analyses anglophones. Ce comparatif rassemble les données disponibles à la mi-octobre 2026 pour donner une vision claire de qui fait quoi, et surtout de ce que chaque agent sait, ou ne sait pas encore, faire face à l’injection de prompt indirecte.
Ce dossier s’appuie sur des déclarations officielles d’éditeurs, des recherches de sécurité indépendantes et des analyses sectorielles publiées entre octobre 2025 et octobre 2026. Lorsque les sources se contredisent, par exemple sur le statut exact de ChatGPT Atlas, cet article privilégie systématiquement la formulation la plus prudente et indique clairement l’origine de chaque affirmation, plutôt que de présenter comme acquis un fait qui reste encore débattu dans l’industrie.
ChatGPT Atlas : de la sortie fracassante à l’incertitude sur son avenir
ChatGPT Atlas a été présenté par OpenAI comme le navigateur capable de transformer ChatGPT en agent de bout en bout : lecture de pages, remplissage de formulaires, et exécution de tâches en plusieurs étapes à la place de l’utilisateur. Dès les premières semaines de disponibilité, le directeur de la sécurité de l’information d’OpenAI, Dane Stuckey, avait averti publiquement que l’injection de prompt constituait un risque que l’entreprise surveillait activement, sans prétendre l’avoir éliminé. Cette prudence affichée dès le lancement a marqué la tonalité de tout ce qui a suivi pour ce produit.
Fin décembre 2025, OpenAI a publiquement reconnu que les navigateurs IA pourraient ne jamais être totalement protégés contre l’injection de prompt, comparant ce risque aux arnaques et à l’ingénierie sociale classique sur le web : un problème qu’on atténue sans jamais le résoudre complètement. Cette déclaration, reprise par TechCrunch, a marqué un tournant dans la communication de l’entreprise sur le sujet : plutôt que de promettre une solution définitive, OpenAI a choisi d’assumer une posture de durcissement continu.
Le statut exact d’Atlas en octobre 2026 reste, lui, plus flou. Plusieurs analyses sectorielles publiées ce mois-ci, dont celle de futuretweets.com, rapportent qu’OpenAI aurait interrompu la version autonome du navigateur le 9 août 2026 pour replier ses fonctions de navigation directement dans l’application ChatGPT et dans une extension Chrome. Ni OpenAI ni la presse généraliste française n’ont confirmé formellement cette bascule à la date de publication de cet article, et la page officielle consacrée au durcissement d’Atlas contre l’injection de prompt reste accessible sur le site d’OpenAI, ce qui traduit a minima la poursuite d’un effort de sécurité sur la technologie sous-jacente, que celle-ci porte encore le nom d’Atlas ou non.
Pour un utilisateur français, la leçon pratique est simple : avant de choisir Atlas comme agent de navigation principal, il faut vérifier sa disponibilité réelle au moment de l’installation plutôt que de se fier à des articles de lancement vieux de plusieurs mois. Le rythme de ce marché est suffisamment rapide pour qu’un produit annoncé comme la référence du secteur en octobre 2025 voie son avenir questionné un an plus tard.
Cette trajectoire illustre aussi une tension propre à toute la catégorie des navigateurs agentiques : plus un produit communique en détail sur ses propres failles, plus il donne l’impression, à tort, d’être moins sûr que des concurrents silencieux sur le sujet. OpenAI a choisi la transparence sur Atlas, documentant publiquement chaque type d’attaque identifié. Cette politique de communication, plutôt rare dans l’industrie du logiciel, rend le produit plus facile à auditer pour un acheteur européen, même si elle ne change rien au niveau de risque réel comparé à des concurrents qui communiquent moins.
Perplexity Comet : l’agent qui a tenu la distance face aux attaques
Perplexity Comet fait partie des rares agents de navigation à être restés actifs et régulièrement mis à jour sans interruption notable depuis son lancement. Les comparatifs sectoriels d’octobre 2026 le classent systématiquement aux côtés de Gemini dans Chrome, d’Opera Neon et de Copilot Mode dans Edge comme l’une des solutions majeures du marché, une position renforcée par le repli supposé d’Atlas. Cette continuité ne signifie toutefois pas que Comet est à l’abri de l’injection de prompt : des recherches menées par Brave ont documenté dès octobre 2025 une faille affectant à la fois Comet et Opera Neon, où des instructions invisibles pouvaient être dissimulées dans des captures d’écran et récupérées par le module de reconnaissance optique de caractères (OCR) de l’agent avant d’être traitées comme des commandes de l’utilisateur.
Ce point est important pour comprendre la vraie nature de la comparaison entre agents de navigation IA : la question n’est pas de savoir lequel est invulnérable, mais lequel corrige le plus vite ses failles et communique le plus clairement sur ses limites. Comet s’appuie sur l’infrastructure de recherche de Perplexity, intégrée à son navigateur, pour exécuter des tâches de recherche, de comparaison de produits et de remplissage de formulaires. Son modèle économique est directement lié à l’abonnement Perplexity Pro, ce qui simplifie la gouvernance pour les équipes de sécurité qui doivent décider d’autoriser ou non son usage en entreprise.
En pratique, Comet reste l’un des choix les plus cités par les comparatifs techniques publiés en 2026 pour un usage grand public en France, notamment parce qu’il ne dépend pas d’un abonnement Google AI Pro ou Ultra géographiquement restreint comme c’est le cas pour les fonctions agentiques de Gemini. Cela ne dispense pas l’utilisateur de la vigilance de base : ne jamais laisser l’agent valider un paiement ou un envoi sans relecture humaine, et éviter de l’utiliser sur des sessions bancaires ou professionnelles sensibles.
Gemini dans Chrome, Copilot dans Edge et Opera Neon : les autres candidats
Gemini dans Chrome reste, en octobre 2026, le produit le plus restrictif géographiquement de ce comparatif. Sa navigation automatique est décrite par plusieurs analyses comme principalement disponible aux États-Unis, réservée aux adultes abonnés à Google AI Pro ou à Google AI Ultra, tandis que des environnements européens, dont la France, restent exclus de certaines de ses fonctions les plus avancées. Pour un utilisateur français qui voudrait tester les capacités agentiques complètes de Gemini, cette limitation géographique constitue aujourd’hui le principal obstacle, davantage que la question de la sécurité elle-même.
Copilot Mode n’existe plus en tant que mode autonome distinct dans le navigateur Edge. Microsoft l’aurait retiré le 13 mai 2026 pour intégrer ses fonctions directement dans Edge et dans certaines offres professionnelles liées à Microsoft 365 Premium. Cette réorganisation suit une logique différente de celle d’Atlas : plutôt que de maintenir un produit à part entière, Microsoft a choisi de diluer les capacités agentiques dans son écosystème existant, ce qui facilite en théorie la gouvernance en entreprise puisque les administrateurs informatiques gèrent déjà les licences Microsoft 365.
Opera Neon occupe une position différente : c’est un navigateur entièrement construit autour de son agent, baptisé Neon Do, capable d’exécuter des tâches directement depuis l’interface du navigateur. Présenté comme disponible publiquement depuis décembre 2025, Opera Neon reste positionné comme un produit en évolution rapide, avec un modèle tarifaire qui n’est pas encore généralisé sur le marché français à la date de publication. Son statut de navigateur autonome agentique, plutôt que de simple extension ajoutée à un navigateur existant, le rapproche d’Atlas et de Comet dans sa logique produit, et donc dans son exposition aux mêmes types d’attaques par injection indirecte.
Un cinquième nom mérite d’être mentionné sans figurer au centre de ce comparatif faute de données de prix et de disponibilité suffisamment établies pour la France : Claude for Chrome, l’extension agentique d’Anthropic, citée par plusieurs études académiques parmi les navigateurs testés pour leur résistance à l’injection de prompt. Son approche, fondée sur des permissions limitées par défaut, est régulièrement présentée comme plus prudente que celle de ses concurrents, sans que cela se traduise par une immunité totale dans les tests indépendants.
Ce qui frappe dans ce paysage à cinq ou six noms, c’est l’absence d’un acteur européen parmi les navigateurs agentiques les plus cités en octobre 2026. OpenAI, Google, Microsoft, Perplexity, Opera et Anthropic sont tous américains ou, pour Opera, d’origine norvégienne mais désormais contrôlé par des capitaux chinois. Pour un utilisateur ou une entreprise française soucieuse de la localisation des données traitées par un agent capable d’accéder à des sessions bancaires ou professionnelles, cette absence d’alternative souveraine reste un facteur à prendre en compte au même titre que la résistance technique à l’injection de prompt, même si aucune des sources consultées pour ce comparatif ne documente de différence de traitement des données propre au marché français à ce jour.
Qu’est-ce qu’une injection de prompt indirecte, et pourquoi les navigateurs IA y sont plus exposés
L’injection de prompt indirecte consiste à dissimuler des instructions malveillantes dans le contenu d’une page web : un texte, un commentaire, une balise invisible ou un élément masqué par du code CSS. Quand l’agent de navigation analyse la page pour en extraire le contexte nécessaire à sa tâche, il risque de traiter ces instructions cachées comme si elles provenaient directement de l’utilisateur. La différence avec une injection directe, où l’attaquant tape lui-même une instruction malveillante dans le champ de discussion, est que la victime n’a rien demandé : elle a simplement laissé son agent visiter une page piégée.
Ce mécanisme touche particulièrement les navigateurs agentiques car leur fonctionnement même repose sur l’ingestion automatique de contenu web non filtré. Un chatbot classique n’ouvre jamais de page tierce de sa propre initiative ; un agent de navigation, lui, le fait en permanence, souvent sans que l’utilisateur relise chaque page visitée. L’absence de séparation fiable entre les entrées de confiance fournies par l’utilisateur et le contenu web non fiable récupéré pendant la navigation constitue, selon plusieurs chercheurs en sécurité, la faiblesse structurelle commune à la quasi-totalité de ces produits.
L’injection invisible via captures d’écran et OCR
En octobre 2025, des chercheurs de Brave ont documenté une variante particulièrement discrète de cette technique. Plutôt que de cacher des instructions dans le code HTML d’une page, qui peut être filtré avant d’atteindre le modèle, l’attaque dissimulait les instructions dans une capture d’écran. Lorsque l’agent utilisait son module de reconnaissance optique de caractères pour comprendre le contenu visuel de la page, il récupérait ces instructions invisibles à l’œil humain mais parfaitement lisibles par l’OCR, puis les transmettait au modèle sous-jacent comme si elles provenaient de l’utilisateur. Cette même faiblesse a été identifiée aussi bien chez Comet que chez Opera Neon, ce qui suggère un problème de conception partagé plutôt qu’un bug isolé à un seul produit.
L’attaque des mémoires empoisonnées et le vol de session
En décembre 2025, une autre technique a été signalée sous le nom de « tainted memories » (mémoires empoisonnées). Elle exploitait une requête de type CSRF au sein d’une session déjà connectée pour écrire des instructions malveillantes directement dans la mémoire persistante de ChatGPT. Concrètement, un attaquant n’avait même pas besoin que la victime visite une page piégée pendant une tâche active : il suffisait qu’une requête forgée s’exécute en arrière-plan pendant que l’utilisateur était connecté, pour que des instructions durables s’installent dans la mémoire de l’agent et influencent ses actions futures, parfois bien après la fin de la session initiale.
Plus récemment, en octobre 2026, une recherche citée par Adversa AI a décrit une technique baptisée « prompt forcing », reposant sur une extension de navigateur malveillante disposant de permissions ordinaires de script de contenu et de filtrage réseau. Cette extension pouvait réécrire le trafic entre le navigateur et le service IA, permettant une prise de contrôle partielle de l’agent sans interaction supplémentaire de la victime. Les produits cités comme concernés par cette technique incluent Gemini dans Chrome, Copilot dans Edge, Opera Neon, Perplexity Comet et Claude dans Chrome, ce qui illustre à quel point cette classe de vulnérabilité traverse l’ensemble du secteur plutôt que de se limiter à un seul éditeur.
Tableau comparatif : caractéristiques techniques des agents de navigation IA
Le tableau suivant synthétise les caractéristiques techniques et de sécurité des cinq principaux agents de navigation IA actifs ou récemment actifs en France et en Europe à la mi-octobre 2026, à partir des informations publiques disponibles et des études de sécurité citées dans cet article.
| Caractéristique | ChatGPT Atlas | Perplexity Comet | Gemini dans Chrome | Copilot Mode (Edge) | Opera Neon |
|---|---|---|---|---|---|
| Éditeur | OpenAI | Perplexity AI | Microsoft | Opera | |
| Statut produit (oct. 2026) | Version autonome repliée selon plusieurs sources | Actif, mis à jour régulièrement | Actif, accès restreint | Fonctions intégrées à Edge | Accès anticipé public |
| Disponibilité France/UE | Via app ChatGPT et extension Chrome | Disponible | Fonctions avancées limitées hors US | Disponible via Edge | Disponible, tarification variable |
| Actions autonomes (clic, saisie) | Oui | Oui | Oui | Oui | Oui |
| Accès aux sessions connectées | Oui | Oui | Oui | Oui | Oui |
| Lecture OCR de captures d’écran | Oui | Oui, faille documentée (Brave, 2025) | Oui | Oui | Oui, faille documentée (Brave, 2025) |
| Mémoire persistante entre sessions | Oui, faille « tainted memories » signalée | Limitée | Limitée | Limitée | Limitée |
| Vulnérabilité à l’injection indirecte rapportée | Oui (étude UW, déclarations OpenAI) | Oui (étude UW, Brave, prompt forcing) | Oui (étude UW, prompt forcing) | Oui (prompt forcing) | Oui (Brave, prompt forcing) |
| Confirmation humaine avant achat | Recommandée, non garantie systématique | Recommandée, non garantie systématique | Recommandée, non garantie systématique | Recommandée, non garantie systématique | Recommandée, non garantie systématique |
| Blocage recommandé en entreprise | Oui, selon politiques citées | Variable selon l’organisation | Variable selon l’organisation | Variable selon l’organisation | Oui, produit jeune |
| Abonnement minimal requis | ChatGPT Plus | Compte gratuit, usage limité | Google AI Pro | Gratuit via Edge | Compte gratuit, bêta |
| Étude de sécurité indépendante publiée | Oui | Oui | Oui | Oui | Oui |
Ce tableau illustre un constat central de ce comparatif : aucun agent de navigation IA ne ressort indemne des études de sécurité publiées depuis fin 2025. La différence entre les produits tient davantage à leur disponibilité géographique, à leur modèle tarifaire et à la rapidité de leurs correctifs qu’à une supériorité structurelle de l’un sur l’autre en matière de résistance à l’injection de prompt.
Résultats des tests de sécurité : ce que montrent les études sur l’injection de prompt
Plusieurs sources indépendantes ont publié des résultats de recherche sur l’injection de prompt dans les navigateurs IA au cours des douze derniers mois. Le tableau suivant regroupe les principaux constats, avec leur source et leur date de publication, pour donner une vision d’ensemble des agents concernés par chaque technique d’attaque documentée.
| Source | Date | Agents concernés | Constat principal |
|---|---|---|---|
| Étude liée à l’Université de Washington | 2026 | ChatGPT Atlas, Gemini dans Chrome, Claude for Chrome, Perplexity Comet | Conditions permettant à une page malveillante de contourner la politique voulue par l’utilisateur via injection indirecte |
| Recherche Brave | Octobre 2025 | Perplexity Comet, Opera Neon | Instructions invisibles dissimulées dans des captures d’écran, récupérées par l’OCR de l’agent |
| Rapport « tainted memories » | Décembre 2025 | ChatGPT (Atlas) | Requête CSRF exploitant une session connectée pour écrire des instructions dans la mémoire persistante |
| Recherche citée par Adversa AI (« prompt forcing ») | Octobre 2026 | Gemini dans Chrome, Copilot dans Edge, Opera Neon, Comet, Claude dans Chrome | Extension malveillante réécrivant le trafic entre navigateur et service IA, prise de contrôle sans interaction supplémentaire |
| Déclarations officielles d’OpenAI | Octobre à décembre 2025 | ChatGPT Atlas | Reconnaissance publique que l’injection de prompt reste un problème non résolu, comparé à l’ingénierie sociale |
Un point mérite d’être souligné avec prudence : ces études ne couvrent pas tous les agents avec le même protocole de test, et aucune ne permet d’établir un classement statistique fiable de « résistance » entre les produits. Les résultats disponibles décrivent plutôt des mesures de réduction du risque, comme le contrôle humain, les restrictions de permissions, la configuration administrée par les entreprises, la limitation des comptes connectés utilisés pendant la navigation agentique, et le blocage pur et simple des navigateurs IA sur certains réseaux professionnels.
Combien coûtent ces navigateurs IA ? Le tableau des prix
L’accès aux fonctions agentiques de ces navigateurs est généralement conditionné à un abonnement payant, à l’exception notable de Copilot Mode qui reste intégré gratuitement à Edge pour ses fonctions de base. Les tarifs suivants correspondent aux offres grand public publiées par chaque éditeur, hors remises et offres entreprise spécifiques, et sont indiqués à titre approximatif pour le marché français.
| Agent | Offre gratuite | Offre payante nécessaire pour l’agent complet | Prix approximatif |
|---|---|---|---|
| ChatGPT Atlas (fonctions dans l’app/extension) | Accès limité | ChatGPT Plus / ChatGPT Pro | Environ 23 €/mois (Plus), environ 229 €/mois (Pro) |
| Perplexity Comet | Accès avec quotas réduits | Perplexity Pro | Environ 21 €/mois |
| Gemini dans Chrome (agent) | Non disponible pour l’agent complet | Google AI Pro / AI Ultra | Environ 22 €/mois (Pro), environ 250 €/mois (Ultra) |
| Copilot Mode (Edge) | Fonctions de base incluses | Microsoft 365 Copilot (entreprise) / Microsoft 365 Premium | Fonctions de base gratuites ; abonnement Microsoft 365 nécessaire pour les fonctions avancées |
| Opera Neon | Accès anticipé disponible | Modèle tarifaire non généralisé en France | Non communiqué officiellement pour le marché français |
Ce tableau met en évidence un paradoxe du marché : les agents les plus coûteux à activer ne sont pas nécessairement ceux qui affichent le meilleur bilan de sécurité dans les études citées plus haut. Un abonnement Google AI Ultra à environ 250 euros par mois ne garantit pas davantage de résistance à l’injection de prompt qu’un compte Perplexity Pro à environ 21 euros par mois. Le prix reflète surtout l’accès à des capacités de calcul et à des fonctionnalités, pas un niveau de sécurité supérieur.
5 exemples réels d’attaques et d’incidents documentés en 2025-2026
- L’injection invisible via OCR (Brave, octobre 2025) : des instructions cachées dans des captures d’écran, invisibles à l’œil humain, étaient lues par le module OCR de Comet et d’Opera Neon puis exécutées comme des commandes légitimes de l’utilisateur.
- Les « mémoires empoisonnées » de ChatGPT (décembre 2025) : une requête CSRF exploitant une session déjà connectée a permis d’écrire des instructions malveillantes directement dans la mémoire persistante de l’agent, influençant des actions bien après l’attaque initiale.
- L’étude multi-navigateurs de l’Université de Washington (2026) : sept navigateurs agentiques testés, dont ChatGPT Atlas, Gemini dans Chrome, Claude for Chrome et Comet, ont montré des conditions permettant à une page piégée de contourner la politique de sécurité voulue par l’utilisateur.
- La technique du « prompt forcing » par extension malveillante (octobre 2026) : une extension dotée de permissions ordinaires de script de contenu a pu réécrire le trafic réseau entre le navigateur et le service IA pour plusieurs agents à la fois, sans interaction supplémentaire de la victime.
- La reconnaissance publique d’OpenAI (octobre à décembre 2025) : l’entreprise a admis, par la voix de son CISO puis dans une déclaration officielle, que l’injection de prompt restait un problème non résolu et le resterait probablement, comparant ce risque à l’ingénierie sociale classique.
- Le durcissement des politiques d’entreprise (Pixel Management, octobre 2026) : plusieurs analyses destinées aux directions informatiques recommandent désormais de bloquer, limiter ou encadrer strictement l’usage des navigateurs IA sur les réseaux professionnels, faute de garanties suffisantes contre l’injection indirecte.
Ces six cas, loin d’être exhaustifs, montrent une tendance claire : les failles touchent des mécanismes transverses (OCR, mémoire, extensions, sessions connectées) plutôt que des bugs isolés propres à un seul éditeur. C’est cette transversalité qui justifie la prudence recommandée par la plupart des équipes de sécurité face à l’ensemble de cette catégorie de produits, et pas seulement face à un agent en particulier.
Un septième exemple, plus diffus mais tout aussi révélateur, tient à la difficulté qu’ont les chercheurs eux-mêmes à comparer ces produits de façon homogène. Les protocoles de test varient d’une étude à l’autre : certains mesurent le taux de réussite d’une attaque donnée sur un échantillon de pages piégées, d’autres se contentent de démontrer qu’une faille existe sans en chiffrer la fréquence réelle en conditions d’usage. Cette hétérogénéité méthodologique explique en partie pourquoi aucune source consultée pour ce comparatif ne fournit de classement numérique définitif entre ChatGPT Atlas, Perplexity Comet, Gemini dans Chrome, Copilot Mode et Opera Neon : les chercheurs documentent des mécanismes de faille partagés, pas une hiérarchie stricte de sécurité.
Ce que dit le CISO d’OpenAI sur l’injection de prompt
Dane Stuckey, directeur de la sécurité de l’information (CISO) chez OpenAI, est l’une des rares voix d’éditeur à s’être exprimée publiquement et de façon détaillée sur ce risque depuis le lancement de ChatGPT Atlas. Dans une publication reprise sur la page officielle d’OpenAI consacrée au durcissement d’Atlas, il a expliqué que l’injection de prompt, où des attaquants dissimulent des instructions malveillantes dans des sites web, des courriels ou d’autres sources, faisait l’objet d’une recherche et d’une atténuation suivies de près par ses équipes, sans présenter le sujet comme résolu (source officielle OpenAI).
Quelques jours après le lancement d’Atlas, Dane Stuckey avait déjà prévenu que l’injection de prompt demeurait un problème de sécurité frontalier et non résolu, ajoutant que les adversaires consacreraient un temps et des ressources considérables pour trouver des moyens de faire tomber l’agent ChatGPT dans ce type d’attaques, selon des propos relayés par le développeur et commentateur Simon Willison.
Il a également détaillé pourquoi ce risque reste particulièrement difficile à circonscrire : l’injection de prompt figure selon lui parmi les principales menaces émergentes en matière de sécurité de l’IA, affectant la confidentialité, l’intégrité et la disponibilité des données, sans qu’il existe de parade parfaite, un peu à l’image des attaques d’ingénierie sociale dirigées contre des humains, comme l’a rapporté The Register peu après l’apparition des premières attaques documentées contre Atlas.
Deux mois plus tard, OpenAI a formalisé cette position dans une déclaration d’entreprise : l’injection de prompt, à l’image des arnaques et de l’ingénierie sociale sur le web, ne sera probablement jamais totalement « résolue ». L’entreprise a ajouté qu’elle considérait ce risque comme un défi de sécurité à long terme, nécessitant un renforcement continu de ses défenses plutôt qu’une correction ponctuelle, selon les propos recueillis par TechCrunch. Cette série de déclarations, échelonnée sur près de trois mois, dessine une trajectoire de communication cohérente : reconnaître le risque dès le lancement, documenter les premières attaques sans les minimiser, puis acter publiquement que la sécurité totale n’est pas un objectif atteignable à court terme.
Quel agent de navigation IA choisir selon votre profil ?
Le choix d’un navigateur IA dépend moins d’un classement de sécurité absolu, qu’aucune étude ne permet d’établir aujourd’hui, que du contexte d’usage, de l’écosystème déjà en place et du niveau de sensibilité des tâches confiées à l’agent. Voici sept profils d’usage et les recommandations qui en découlent.
- Grand public souhaitant automatiser des achats en ligne : quel que soit l’agent choisi, activer systématiquement la confirmation humaine avant toute validation de paiement, et ne jamais laisser l’agent agir seul sur une session bancaire.
- Professionnel de la recherche web et du marketing de contenu : Perplexity Comet reste l’option la plus citée, grâce à son intégration native avec les outils de recherche de Perplexity et à sa disponibilité sans restriction géographique particulière en France.
- Direction informatique ou RSSI avec politique de sécurité stricte : envisager le blocage ou l’encadrement renforcé des navigateurs IA sur le réseau professionnel, en ligne avec les recommandations relayées par Pixel Management, au moins jusqu’à ce que des garanties plus solides soient publiées.
- Utilisateur déjà abonné à Google AI Pro ou AI Ultra : Gemini dans Chrome reste une option cohérente avec l’écosystème Google, à condition de vérifier au préalable la disponibilité réelle des fonctions agentiques en France, qui restent partiellement limitées hors des États-Unis.
- Entreprise déjà équipée en Microsoft 365 : Copilot Mode dans Edge s’intègre directement à la gouvernance existante des licences Microsoft, ce qui simplifie l’application de politiques de permissions centralisées.
- Testeur ou adopteur précoce curieux des nouveaux usages : Opera Neon, en accès anticipé, convient à un usage exploratoire, à condition d’accepter qu’un produit en bêta reste par nature moins éprouvé face aux attaques documentées depuis 2025.
- Utilisateur prudent côté vie privée et sécurité : réserver les agents de navigation autonomes à des tâches à faible enjeu (comparaison de prix, recherche d’informations publiques) et repli sur une navigation assistée mais non autonome pour tout ce qui touche aux comptes sensibles.
Guide de migration : changer de navigateur IA en toute sécurité
Que ce soit pour abandonner ChatGPT Atlas après l’incertitude sur son avenir, ou simplement pour tester un nouvel agent, la migration d’un navigateur IA agentique vers un autre doit suivre une méthode rigoureuse pour éviter de laisser des sessions ou des données exposées derrière soi.
- Dresser l’inventaire de tous les comptes et sessions actuellement connectés à l’agent sortant, en particulier les comptes de messagerie, de paiement et de réseaux sociaux.
- Révoquer manuellement les sessions actives de l’ancien agent depuis les paramètres de sécurité de chaque compte concerné, plutôt que de se contenter d’une simple déconnexion côté navigateur.
- Exporter puis supprimer la mémoire persistante de l’ancien agent, si le produit en propose une, afin d’éviter qu’une instruction empoisonnée résiduelle ne survive à la migration.
- Désinstaller ou désactiver toutes les extensions liées à l’ancien agent, en vérifiant qu’aucune extension tierce non officielle n’a été installée en parallèle.
- Examiner en détail les permissions demandées par le nouvel agent avant de les accorder, en refusant par défaut l’accès aux sessions bancaires ou professionnelles les plus sensibles.
- Activer systématiquement les options de confirmation humaine avant toute action sensible (achat, envoi de message, modification de compte) proposées par le nouvel agent.
- Tester le nouvel agent sur un compte « bac à sable » ou un compte secondaire avant de lui confier des tâches impliquant des comptes réels.
- Pour un usage en entreprise, former les équipes aux risques spécifiques de l’injection de prompt indirecte avant le déploiement généralisé du nouvel agent.
- Mettre à jour la politique de sécurité interne pour refléter le changement d’outil, en documentant les permissions accordées et les restrictions appliquées.
- Surveiller activement, durant les premières semaines suivant la migration, les journaux d’activité du nouvel agent pour détecter tout comportement inattendu lié à une tentative d’injection.
Avantages et inconvénients de chaque agent de navigation IA
| Agent | Avantages | Inconvénients |
|---|---|---|
| ChatGPT Atlas | Intégration profonde avec l’écosystème ChatGPT ; communication transparente d’OpenAI sur les risques | Statut produit incertain en octobre 2026 ; faille « tainted memories » documentée |
| Perplexity Comet | Disponibilité stable en France ; pas de restriction géographique majeure signalée | Faille OCR documentée par Brave ; concerné par la technique « prompt forcing » |
| Gemini dans Chrome | Intégration native à Chrome, navigateur le plus utilisé en France | Fonctions agentiques complètes largement limitées hors des États-Unis ; abonnement AI Pro/Ultra requis |
| Copilot Mode (Edge) | Fonctions de base gratuites ; gouvernance facilitée pour les entreprises déjà sous Microsoft 365 | Mode autonome retiré ; fonctions avancées conditionnées à des licences payantes |
| Opera Neon | Conçu nativement comme navigateur agentique ; accès anticipé ouvert | Produit jeune (public depuis décembre 2025) ; tarification non généralisée en France ; faille OCR documentée |
Le verdict : quel navigateur IA privilégier en France et en Europe en 2026
Les données réunies dans ce comparatif convergent vers une conclusion inconfortable mais honnête : aucun des cinq agents de navigation IA examinés ne dispose aujourd’hui d’un bilan de sécurité qui permettrait de le qualifier de résistant par conception à l’injection de prompt. L’étude liée à l’Université de Washington, les travaux de Brave, le rapport sur les « tainted memories » et la technique du « prompt forcing » touchent, ensemble, la totalité des produits de ce comparatif. Même le CISO d’OpenAI, dont l’entreprise a investi le plus dans la communication publique sur ce risque, admet qu’il s’agit d’un problème qui ne sera probablement jamais totalement résolu.
Dans ce contexte, le critère le plus fiable pour un utilisateur ou une entreprise française n’est pas de chercher le produit « le plus sûr », une catégorie qui n’existe pas encore avec certitude dans les données disponibles, mais de privilégier celui dont le modèle de gouvernance correspond le mieux à son usage réel. Perplexity Comet se distingue par sa disponibilité stable et sans restriction géographique majeure en France, ce qui en fait un choix pragmatique pour un usage grand public prudent. Copilot Mode convient mieux aux organisations déjà engagées dans l’écosystème Microsoft 365, où la gouvernance centralisée compense en partie l’absence de garantie de sécurité absolue. Gemini dans Chrome reste pénalisé, pour le marché français, par ses restrictions géographiques plutôt que par un bilan de sécurité particulièrement différent de ses concurrents. Quant à ChatGPT Atlas, son statut incertain en octobre 2026 invite à la prudence avant d’en faire un outil central de productivité.
Le point commun à toutes ces recommandations reste le même : tant qu’aucune étude indépendante ne démontrera une résistance structurelle à l’injection de prompt pour l’un de ces produits, la confirmation humaine avant toute action sensible demeure la seule protection réellement vérifiée, quel que soit l’agent choisi.
Ce comparatif sera probablement à revoir dans les prochains mois. Le marché des navigateurs IA agentiques évolue à un rythme bien plus rapide que celui des navigateurs classiques : un produit phare peut être retiré, replié ou profondément transformé en quelques mois, comme l’illustre le cas d’Atlas. Les lecteurs français qui envisagent d’adopter l’un de ces outils devraient donc traiter toute comparaison, y compris celle-ci, comme une photographie datée plutôt que comme un classement figé, et revérifier systématiquement la disponibilité, le prix et le dernier correctif de sécurité publié avant toute décision d’adoption, en particulier dans un contexte professionnel.
Foire aux questions
Qu’est-ce qu’un navigateur IA agentique ?
C’est un navigateur ou une extension capable d’agir à la place de l’utilisateur sur le web : cliquer, remplir des formulaires, changer d’onglet et interagir avec des sessions déjà connectées, contrairement à un chatbot qui se limite à répondre par du texte.
ChatGPT Atlas est-il toujours disponible en France en octobre 2026 ?
Selon plusieurs analyses sectorielles publiées en octobre 2026, OpenAI aurait replié la version autonome d’Atlas dans l’application ChatGPT et dans une extension Chrome depuis le 9 août 2026. Cette information n’a pas été formellement confirmée par OpenAI au moment de la publication de cet article ; il est recommandé de vérifier la disponibilité réelle du produit avant de l’adopter.
Perplexity Comet est-il plus sûr que ChatGPT Atlas face à l’injection de prompt ?
Non, les données disponibles ne permettent pas d’affirmer cela. Comet a été concerné par une faille OCR documentée par Brave et par la technique du « prompt forcing », tout comme Atlas a été concerné par la faille des « mémoires empoisonnées ». Aucun classement statistique fiable de résistance n’existe à ce jour entre les deux produits.
Peut-on utiliser Gemini dans Chrome en France pour naviguer automatiquement ?
Les fonctions agentiques complètes de Gemini dans Chrome restent, selon plusieurs sources d’octobre 2026, principalement disponibles aux États-Unis pour les abonnés Google AI Pro ou AI Ultra. Des environnements européens, dont la France, restent exclus de certaines de ces fonctions à la date de publication.
Les entreprises doivent-elles bloquer les navigateurs IA ?
Plusieurs analyses destinées aux directions informatiques, dont celle de Pixel Management publiée en octobre 2026, recommandent de bloquer ou d’encadrer strictement l’usage des navigateurs IA agentiques sur les réseaux professionnels, en l’absence de garanties suffisantes contre l’injection de prompt indirecte.
Comment se protéger de l’injection de prompt indirecte au quotidien ?
Activer systématiquement la confirmation humaine avant toute action sensible, éviter d’utiliser un agent de navigation autonome sur des sessions bancaires ou professionnelles, limiter les extensions installées en parallèle de l’agent, et se tenir informé des correctifs publiés par chaque éditeur.
Combien coûte l’accès aux fonctions agentiques de ces navigateurs ?
Les tarifs varient entre environ 21 euros par mois pour Perplexity Pro et environ 250 euros par mois pour Google AI Ultra, selon les offres grand public publiées par chaque éditeur en octobre 2026. Copilot Mode reste gratuit pour ses fonctions de base dans Edge.
L’injection de prompt sera-t-elle un jour résolue ?
Selon OpenAI elle-même, probablement pas totalement. L’entreprise compare ce risque aux arnaques et à l’ingénierie sociale sur le web : un problème qui s’atténue avec des défenses renforcées en continu, mais qui ne connaît pas de solution définitive à ce jour.