BrowseSafe++ : Perplexity mesure à quel point les navigateurs IA restent manipulables

Un navigateur IA lit les pages à votre place, puis agit. Si une page contient un texte du type « ignore ta mission et fais ceci », l'agent peut obéir. C'est l'injection de prompt indirecte, le principal risque de ces outils. Le 2 novembre 2026, Perplexity a publié BrowseSafe++, un banc d'essai ouvert pour mesurer ce risque, accompagné d'un article de recherche.

De quoi il s'agit

BrowseSafe++ rassemble 38 675 paires de pages, chacune en version saine et en version piégée. La majorité (32 187) repose sur des injections que le détecteur de Comet, le navigateur de Perplexity, a signalées sur de vraies pages entre septembre 2025 et septembre 2026. Les données personnelles ont été masquées et le contenu autour réécrit, mais le texte de l'attaque est conservé tel quel.

À quoi ressemblent les attaques réelles

Selon Perplexity :

• les injections imitent souvent une source de confiance : le développeur du site, un avis de sécurité, ou les préférences de l'utilisateur lui-même ;
• environ 24 % sont rédigées dans une autre langue que le reste de la page ;
• plus de 40 % poussent l'agent vers une action non demandée, et environ un tiers cherchent à faire dérailler la tâche en cours ;
• seules 3 % environ visent à glisser une fausse information.

Les chiffres annoncés

Ils viennent de l'éditeur, pas d'une mesure indépendante.

Perplexity a entraîné deux petits détecteurs, nommés BrowseSafe-Guard, à partir du modèle Qwen3.5-0.8B : l'un pour le texte, l'autre pour les captures d'écran. Le détecteur de texte obtient un score F1 moyen de 94,84 %. Il laisse passer 5,44 % des attaques et signale à tort 4,84 % des pages saines. Le coût annoncé est d'environ 0,18 dollar pour 1 000 pages.

Deux résultats tempèrent ce tableau :

• Détecter ne suffit pas. Tous les modèles testés ont suivi au moins une partie des injections qu'ils avaient pourtant repérées, de 1,64 % pour le meilleur à 24,73 % pour le moins bon.
• L'attaquant qui insiste gagne. Avec un outil d'attaque adaptative, qui reformule après chaque échec, le taux de réussite passe de 0,5 à 4 % au premier essai à une fourchette de 30,7 à 95,4 % en 64 tentatives, sur sept agents. Face à un agent protégé par le détecteur, l'attaquant réussit encore sur 84,2 % des tâches après 64 essais, contre 93,6 % sans protection.

Perplexity l'écrit sans détour : aucun détecteur n'est une solution miracle, et il doit s'inscrire dans une défense à plusieurs couches.

Les limites

• Le billet indique que Perplexity évalue en continu les défenses de Comet et de Computer, mais ne dit pas explicitement que ces détecteurs y sont déployés.
• L'accès au jeu de données se fait sur demande, et la licence n'est pas précisée dans le billet.
• Un banc d'essai public finit par être connu des attaquants comme des modèles, ce que les auteurs reconnaissent.
• Un taux de fausses alertes proche de 5 % signifie, à l'usage, des blocages réguliers sur des pages légitimes.

Notre lecture

Ce travail a le mérite de chiffrer ce que les éditeurs disent d'habitude à demi-mot : la protection contre les pages piégées progresse, mais elle n'est pas étanche.

Pour une petite entreprise, la conséquence est pratique :

• n'utilisez pas un navigateur IA en mode agent dans une session connectée à la banque, à la paie ou à l'administration du site ;
• réservez-lui un profil de navigateur distinct, sans mots de passe enregistrés ;
• gardez une validation humaine pour tout envoi, achat ou suppression ;
• méfiez-vous d'un résumé de page qui vous recommande soudain une action : c'est précisément la forme que prennent ces attaques.