Browser Extensions Are the New AI Consumption Channel That No One Is Talking About
Mis à jour :
Les extensions de navigateur IA : un angle mort critique de la cybersécurité
Les extensions de navigateur, en particulier celles intégrant l’IA, constituent une surface d’attaque sous-estimée mais omniprésente. Elles contournent les outils de sécurité classiques (DLP, journaux SaaS) en accédant directement au contenu des pages, aux saisies utilisateur et aux sessions actives au sein du navigateur.
Points clés :
- Omniprésence : 99 % des utilisateurs en entreprise utilisent au moins une extension, et 1 sur 6 utilise une extension IA.
- Risque accru : Les extensions IA sont 60 % plus susceptibles de présenter des vulnérabilités, 3 fois plus enclines à accéder aux cookies et 2,5 fois plus susceptibles d’exécuter des scripts distants que les extensions classiques.
- Évolutivité dangereuse : Elles sont 6 fois plus susceptibles de modifier leurs permissions au cours de leur cycle de vie, rendant les approbations initiales obsolètes.
- Manque de maintenance : Environ 40 % des extensions ne sont plus mises à jour, et une part importante dispose d’une base d’utilisateurs trop faible pour garantir un niveau de confiance minimal.
Vulnérabilités : Bien que l’article mentionne une fréquence de CVE 60 % supérieure à la moyenne pour les extensions IA, il ne cite pas de références CVE spécifiques. Les risques techniques identifiés incluent :
- Exposition des jetons de session (via accès aux cookies).
- Extraction et manipulation de données (via privilèges de script).
- Phishing et redirection silencieuse (via contrôle des onglets).
Recommandations pour les CISOs :
- Inventaire exhaustif : Réaliser un audit complet des extensions sur tous les navigateurs, postes de travail et utilisateurs.
- Gouvernance ciblée : Appliquer des politiques de sécurité strictes spécifiquement pour les extensions IA en raison de leurs privilèges élevés.
- Surveillance comportementale : Passer d’une approche d’approbation statique à une analyse continue basée sur les permissions réelles et l’évolution des comportements.
- Critères de confiance : Établir des seuils minimaux de fiabilité (historique de maintenance, présence de politiques de confidentialité, taille de la base d’utilisateurs) pour autoriser l’usage d’une extension.