Le secteur de la cybersécurité est en alerte après la révélation, le 3 mars 2026, d’une vulnérabilité majeure touchant l’IA native de notre navigateur. Selon les recherches menées par l’équipe Unit 42 chez Palo Alto Networks, une faille baptisée CVE-2026-0628 permet à des extensions malveillantes de transformer l’assistant Gemini en un véritable espion infiltré sur votre machine.
Cette découverte souligne les dangers de l’IA agentique. Surtout lorsqu’elle est mal sécurisée, car elle offre aux pirates un accès privilégié à des ressources système normalement inaccessibles.
Il est ici question d’une menace directe de la confidentialité de nos données personnelles et professionnelles.
Un détournement technique qui brise les barrières de sécurité
Pour comprendre comment notre sécurité est compromise, il faut nous pencher sur le défaut d’application des politiques dans la balise WebView de Chrome.
Avant les correctifs récents, ce bug permettait à une extension, même dotée d’autorisations basiques via l’API declarativeNetRequests, d’injecter du code JavaScript ou HTML directement dans le panneau Gemini.
En prenant le contrôle de cette interface privilégiée, l’attaquant détourne les capacités natives de l’IA. Avec comme objectif : s’octroyer des droits qu’une extension standard n’aurait jamais obtenus seule.
Des risques concrets allant de la surveillance webcam au vol de fichiers
Si vous installez par mégarde une extension corrompue, les conséquences pour votre vie privée sont vertigineuses. Alors faites attention puisque l’attaquant peut désormais agir sans votre consentement explicite.
Détourné, le panneau Gemini devient une porte ouverte permettant aux pirates de prendre le contrôle de votre webcam et de votre microphone. Ils pourraient également effectuer des captures d’écran automatiques de vos sessions de travail.
Plus grave encore, la faille autorise l’exfiltration de vos fichiers stockés localement. Mais aussi la lecture de vos répertoires système, tout en facilitant des attaques de phishing ultra-ciblées directement intégrées dans l’interface de l’assistant.
Comme l’indique l’Unit 42, l’IA étant conçue pour exécuter des actions légitimes sur le système, son détournement offre un levier de contrôle total sur votre environnement numérique.
⚠️ A new Google Chrome flaw (CVE-2026-0628, CVSS 8.8) could let a malicious extension inject code into the Gemini side panel due to weak WebView policy enforcement.
Successful exploitation enabled privilege escalation and potential access to the camera, microphone, screenshots,… pic.twitter.com/RHpK1egMhq— The Hacker News (@TheHackersNews) March 2, 2026
La procédure immédiate pour verrouiller votre navigateur
Pour protéger votre parc informatique et vos données, vous devez suivre une procédure de mise à jour rigoureuse.
Oui, Google a effectivement déjà déployé les correctifs nécessaires suite au signalement effectué en octobre dernier.
Pour commencer, vous devez vérifier que votre version de Chrome est au moins la 143.0.7499.192 ou .193 si vous utilisez Windows ou macOS. Tandis que les utilisateurs sous Linux doivent impérativement passer à la version 143.0.7499.192.
Ensuite, assurez-vous de valider immédiatement toute alerte de mise à jour apparaissant à droite de votre barre d’adresse.
Ces nouvelles moutures vont corriger également des bugs de dépassement de mémoire dits out-of-bounds.
Le plus important : considérez chaque mise à jour comme une priorité absolue. Car ces versions stables sont actuellement les seuls remparts contre cette chaîne d’attaques complexe.
Restez à la pointe de l'information avec INTELLIGENCE-ARTIFICIELLE.COM !
- Partager l'article :
