Comment vérifier si une extension de navigateur IA est sécuritaire avant de l'installer ? Vérifiez d'abord la liste complète des permissions demandées — une extension IA légitime ne devrait pas exiger un accès à « toutes les données de tous les sites web » pour résumer un article. Vérifiez ensuite l'identité réelle du développeur, l'ancienneté et le volume réel d'utilisateurs, et cherchez le nom de l'extension accompagné du mot « malware » avant d'installer quoi que ce soit sur un poste professionnel. En entreprise, cette vérification ne devrait jamais être laissée à la discrétion de chaque employé — elle doit passer par une politique claire et une approbation du service informatique.
Notre article sur le phishing généré par IA en 2026 couvre la menace qui arrive par courriel. Celui-ci couvre une menace différente, moins connue mais tout aussi sérieuse : ce qui s'installe directement dans le navigateur de vos employés — extensions IA génériques et nouveaux navigateurs IA agentiques de type Comet, Atlas ou Dia — et qui obtient, souvent sans que personne n'y prête vraiment attention, un accès permanent à tout ce qui s'affiche à l'écran.
Le changement de paradigme en une phrase
Une extension de navigateur classique demandait généralement une permission précise pour une fonction précise — bloquer les publicités, gérer des signets, convertir des devises. Une extension IA moderne, ou un navigateur IA agentique complet, demande souvent d'emblée l'accès à tout ce que vous voyez à l'écran, à votre boîte courriel, et parfois la capacité d'agir en votre nom sur des formulaires et des sites de paiement — une surface d'accès qu'aucun logiciel grand public n'avait auparavant, et qui change fondamentalement le calcul du risque pour une PME.
Qu'est-ce qu'une extension ou un navigateur IA, exactement ?
Deux catégories distinctes méritent d'être comprises séparément, parce qu'elles présentent des profils de risque différents pour une PME québécoise en 2026.
Les extensions IA génériques installées sur un navigateur classique
Il s'agit de petits modules ajoutés à un navigateur existant (Chrome, Edge, Firefox) qui promettent de résumer des pages web, de rédiger des courriels, de générer du texte à partir du contenu affiché à l'écran, ou d'assister la navigation d'une façon ou d'une autre grâce à un modèle de langage. Des dizaines de milliers de ces extensions sont apparues dans les boutiques officielles depuis 2023, avec une qualité et un sérieux extrêmement variables — certaines sont développées par des équipes reconnues, d'autres par des entités impossibles à identifier clairement.
Les navigateurs IA agentiques complets
Une nouvelle génération de navigateurs entièrement construits autour d'un agent IA — le type d'outils popularisés en 2025-2026 par des entreprises technologiques majeures avec des produits comme Comet, Atlas ou Dia — va plus loin qu'une simple extension. Ces navigateurs intègrent un agent capable de lire l'écran en continu, de remplir des formulaires, de naviguer de site en site de façon autonome et parfois d'exécuter des tâches complexes en plusieurs étapes sans supervision constante de l'utilisateur, comme réserver un rendez-vous ou comparer des prix sur plusieurs sites. Cette autonomie, aussi utile soit-elle, crée une surface d'attaque entièrement nouvelle : un contenu malveillant caché dans une page web peut potentiellement détourner les instructions données à l'agent, une technique que les chercheurs en sécurité appellent l'injection de prompt (« prompt injection »).
Pourquoi cette distinction compte pour une PME
Le risque d'une extension IA générique douteuse est surtout lié à l'identité et aux intentions du développeur — une extension mal intentionnée dès le départ, conçue pour siphonner des données. Le risque d'un navigateur IA agentique, même développé par une entreprise sérieuse et respectée, est différent : c'est le comportement de l'agent lui-même, manipulé à son insu par du contenu malveillant rencontré en cours de navigation, qui devient le vecteur d'attaque. Les deux menaces exigent une vigilance distincte, et une PME qui ne considère que la première passe à côté de la seconde.
Ce qu'une extension IA malveillante peut réellement voir et faire
Pour bien évaluer le risque, il faut comprendre concrètement l'étendue des permissions qu'une extension IA demande couramment, et pourquoi chacune peut être détournée à des fins malveillantes.
Lire le contenu de chaque page visitée
C'est la permission la plus fréquemment accordée sans réflexion, parce qu'elle semble nécessaire à presque toute fonction IA utile — résumer un article, analyser un tableau, répondre à une question sur le contenu affiché. Mais cette même permission donne techniquement accès à tout ce qui s'affiche à l'écran, y compris des informations confidentielles dans un système de gestion interne, un dossier client, ou une interface bancaire en ligne.
Accéder à la boîte courriel
Plusieurs extensions IA demandent explicitement l'accès à Gmail, Outlook ou un autre client courriel web pour « résumer vos messages » ou « rédiger des réponses automatiquement ». Une fois accordée, cette permission expose potentiellement l'historique complet des courriels, y compris des pièces jointes sensibles, des communications financières ou des données de clients — une mine d'or pour quiconque contrôle une extension malveillante ou une extension légitime rachetée et détournée après coup.
Remplir des formulaires et agir de façon autonome
Les agents IA les plus avancés peuvent remplir des champs de formulaire automatiquement, y compris potentiellement des identifiants sauvegardés dans le navigateur. Une extension malveillante dotée de cette capacité peut, en théorie, initier des actions sur des sites financiers ou administratifs sans qu'un humain ne valide chaque étape — un scénario qui aurait semblé de la science-fiction il y a quelques années à peine.
Capturer des données saisies avant leur chiffrement
Une extension avec un accès suffisamment large peut techniquement observer ce qui est tapé dans un champ, y compris un mot de passe, avant même qu'il ne soit soumis au site web de destination. C'est un mécanisme distinct du vol de données stockées, et c'est pourquoi la vigilance sur les permissions demeure essentielle même pour des utilisateurs qui utilisent déjà un gestionnaire de mots de passe dédié.
Vous soupçonnez une extension douteuse sur un poste de votre entreprise ?
Nos techniciens certifiés analysent les extensions installées sur votre parc informatique, vérifient les permissions accordées et sécurisent vos postes. Même journée, dès 119,99 $.
Extension légitime ou malveillante : le tableau comparatif des signaux
Le tableau suivant résume les signaux qui permettent de distinguer une extension IA légitime d'une extension à risque élevé, avant même de l'installer.
| Signal | Extension IA légitime | Extension IA à risque élevé |
|---|---|---|
| Identité du développeur | Entreprise nommée, site web vérifiable, coordonnées réelles | Nom générique, aucune entreprise identifiable, aucun site web sérieux |
| Permissions demandées | Limitées à la fonction annoncée, expliquées clairement | Accès à « toutes les données de tous les sites web » sans justification |
| Historique et ancienneté | Plusieurs mois ou années, mises à jour régulières documentées | Récente, peu ou pas d'historique de mises à jour visible |
| Avis et évaluations | Grand nombre d'avis détaillés et cohérents dans le temps | Peu d'avis, avis génériques ou manifestement faux, notes incohérentes |
| Politique de confidentialité | Document clair précisant les données collectées et leur usage | Absente, vague, ou copiée d'un autre produit |
| Comportement après installation | Fait exactement ce qui est annoncé, rien de plus | Demande des permissions supplémentaires après coup, comportement inattendu |
| Présence dans une boutique officielle | Généralement un bon signe, mais pas une garantie à elle seule | Peut aussi être présente — la vérification des permissions reste indispensable |
Le piège du rachat silencieux
Une extension parfaitement légitime au moment de son installation peut être rachetée plus tard par un tiers qui en modifie le comportement via une mise à jour automatique, sans que l'utilisateur en soit explicitement averti. C'est arrivé à plusieurs reprises avec des extensions populaires comptant des centaines de milliers d'utilisateurs. Une revue périodique des extensions déjà installées, pas seulement une vérification au moment de l'installation, fait partie des bonnes pratiques à adopter en entreprise.
Checklist avant d'installer une extension IA — à imprimer
Voici la liste de vérification à suivre systématiquement, autant pour un usage personnel qu'en entreprise, avant d'installer toute extension IA sur un poste de travail.
Checklist avant d'installer une extension IA
- Identifier le développeur réel — une entreprise nommée avec un site web vérifiable, pas un nom générique anonyme
- Lire la liste complète des permissions demandées et se demander si chacune est réellement nécessaire à la fonction annoncée
- Vérifier le nombre réel d'utilisateurs et lire des avis récents détaillés, pas seulement la note globale
- Rechercher le nom de l'extension avec le mot « malware » ou « risque » avant d'installer
- Consulter la politique de confidentialité pour savoir précisément quelles données sont collectées et où elles sont envoyées
- Éviter d'accorder l'accès à la boîte courriel ou aux données bancaires sauf nécessité absolue et clairement justifiée
- Ne jamais installer une extension IA sur un poste professionnel sans l'approbation préalable du service informatique
- Désactiver l'extension sur les onglets contenant des données sensibles lorsque c'est possible
- Revoir périodiquement les extensions déjà installées, pas seulement au moment de l'installation initiale
- Désinstaller immédiatement toute extension qui demande des permissions supplémentaires de façon inattendue après une mise à jour
- Pour un navigateur IA agentique complet, limiter son usage aux tâches sans données sensibles jusqu'à ce qu'une politique claire soit en place
- Signaler toute extension suspecte au service informatique sans attendre, même en cas de doute léger
Comment un attaquant exploite ces nouvelles surfaces
Comprendre les tactiques concrètes utilisées permet de mieux évaluer où porter sa vigilance en priorité.
Le faux assistant IA qui imite un outil populaire
Une tactique courante consiste à publier une extension au nom et à l'apparence très proches d'un outil IA populaire et légitime, avec une icône et une description presque identiques, dans l'espoir que des utilisateurs pressés installent la mauvaise version par erreur. Cette extension usurpatrice demande ensuite des permissions excessives sous prétexte de reproduire les fonctionnalités de l'original.
L'injection de prompt cachée dans une page web
Pour les navigateurs IA agentiques, une page web peut contenir du texte invisible à l'œil humain — dissimulé dans le code de la page, en couleur identique à l'arrière-plan, ou dans des métadonnées — mais parfaitement lisible par l'agent IA qui analyse le contenu de la page. Ce texte caché peut contenir des instructions destinées à détourner le comportement de l'agent, par exemple lui faire remplir un formulaire différent de celui prévu ou révéler des informations à un tiers, sans que l'utilisateur ne voie rien d'anormal à l'écran.
La collecte de données à des fins de revente
Même sans intention immédiatement malveillante au sens criminel, plusieurs extensions IA collectent et revendent l'historique de navigation, le contenu des pages visitées et parfois des données personnelles à des courtiers de données, souvent en toute légalité technique parce que la politique de confidentialité — rarement lue — l'autorise explicitement. Pour une PME manipulant des données de clients, cette collecte peut représenter une violation de ses propres obligations de confidentialité, même sans acte de piratage à proprement parler.
Ce qui reste vrai malgré la sophistication de l'IA
Peu importe la sophistication technique de la menace, le principe de base ne change pas : une permission accordée est une permission qui peut être exploitée, et une extension qu'on ne peut pas expliquer clairement — pourquoi elle est installée, ce qu'elle fait exactement, qui l'a développée — ne devrait tout simplement pas se trouver sur un poste professionnel.
Trois cas concrets de PME québécoises confrontées à des extensions IA
Les scénarios suivants, inspirés de situations types observées auprès de PME québécoises en 2026, illustrent concrètement les enjeux abordés dans cet article. Les noms et détails ont été modifiés à des fins d'illustration.
Cas 1 — Agence de marketing de Québec : la fausse extension de résumé de courriels
Une coordonnatrice de projets d'une agence de marketing de la ville de Québec installe, sur son ordinateur portable professionnel, une extension trouvée en cherchant « résumé courriel IA » dans une boutique d'extensions, promettant de résumer automatiquement ses courriels chaque matin. L'extension demande l'accès complet à sa boîte Gmail professionnelle, ce qu'elle accepte sans lire attentivement la liste des permissions, pressée par le temps. Deux semaines plus tard, l'agence reçoit une plainte d'un client dont les coordonnées bancaires, échangées par courriel dans le cadre d'un projet de facturation, ont visiblement été compromises — une facture frauduleuse presque identique à une facture légitime a été envoyée au client à partir d'une adresse similaire. Une enquête technique révèle que l'extension, développée par une entité anonyme et rachetée quelques mois après son lancement, transmettait le contenu de la boîte courriel à un serveur externe. Coût pour l'agence : plusieurs heures de gestion de crise, la perte de confiance d'un client, et une révision complète de sa politique de cybersécurité.
Cas 2 — Cabinet comptable de Trois-Rivières : le navigateur IA agentique sans supervision
Un cabinet comptable de Trois-Rivières adopte un navigateur IA agentique de dernière génération pour accélérer certaines tâches répétitives, notamment la collecte automatisée d'informations publiques sur des entreprises clientes à partir de plusieurs sites gouvernementaux. Un technicien configure l'agent pour naviguer de façon autonome sur une liste de sites, sans politique claire limitant son accès aux systèmes internes du cabinet. Quelques semaines plus tard, l'agent, en visitant un site compromis contenant des instructions cachées destinées à manipuler son comportement, tente de soumettre un formulaire sur un portail non prévu avec des informations extraites d'un onglet resté ouvert contenant un dossier client. L'incident est détecté à temps par une alerte de sécurité réseau, sans fuite de données confirmée, mais l'événement pousse le cabinet à revoir entièrement sa politique d'usage des navigateurs IA agentiques, désormais limitée à des tâches strictement définies, sans onglets sensibles ouverts en parallèle.
Cas 3 — Clinique juridique de Gatineau : l'extension de productivité qui capture les mots de passe
Un adjoint juridique d'un petit cabinet de Gatineau installe une extension IA promettant d'accélérer la rédaction de documents en s'intégrant directement à son navigateur, avec accès à « toutes les données du site pour toutes les pages web » — une permission qu'il accorde sans y réfléchir, séduit par les fonctionnalités annoncées. L'extension capture silencieusement des identifiants saisis dans plusieurs interfaces web, y compris un portail gouvernemental utilisé pour des dépôts de documents juridiques. Le cabinet découvre l'anomalie lorsqu'une connexion suspecte est signalée sur ce portail, provenant d'une adresse IP inconnue. Une vérification technique complète confirme la présence de l'extension malveillante sur trois postes du cabinet. Coût de l'incident : changement de tous les mots de passe du cabinet, audit de sécurité complet, et notification obligatoire à l'organisme professionnel concerné en raison de la nature des données potentiellement exposées.
Le point commun de ces trois cas
Dans les trois scénarios, l'installation initiale semblait anodine — un outil de productivité, une fonctionnalité pratique, une promesse de gain de temps. Aucune de ces PME n'avait de politique écrite encadrant l'installation d'extensions IA sur ses postes professionnels au moment de l'incident. C'est précisément ce que la section suivante propose de corriger.
Bâtir une politique d'entreprise pour les extensions et navigateurs IA
Une politique claire et appliquée reste la mesure la plus efficace pour une PME, bien plus qu'une confiance individuelle laissée à chaque employé. Voici les éléments essentiels à inclure, développés dans notre guide plus large sur le gestionnaire de mots de passe en entreprise, qui couvre un enjeu étroitement lié à celui des extensions IA.
Exiger une approbation préalable du service informatique
Aucune extension IA, aucun navigateur IA agentique, ne devrait être installé sur un poste professionnel sans validation préalable par la personne ou l'équipe responsable de l'informatique, même dans une très petite structure. Cette approbation devrait inclure une vérification rapide des permissions demandées et de l'identité du développeur, selon les critères de la checklist présentée plus haut.
Limiter les permissions au strict nécessaire
Lorsqu'une extension IA est jugée nécessaire pour une fonction précise, les permissions accordées devraient être limitées au minimum requis, avec une préférence pour les extensions permettant une activation manuelle site par site plutôt qu'un accès permanent à toutes les pages visitées.
Interdire l'usage non supervisé sur des données sensibles
L'utilisation d'un navigateur IA agentique pour des tâches impliquant des identifiants bancaires, des dossiers clients confidentiels ou des données financières devrait être explicitement interdite sans supervision humaine directe à chaque étape critique, jusqu'à ce que la technologie et la politique interne aient suffisamment mûri pour encadrer ce type d'usage en toute confiance.
Prévoir une revue périodique du parc informatique
Une vérification trimestrielle ou semestrielle des extensions installées sur l'ensemble des postes de l'entreprise permet de détecter des ajouts non autorisés, des extensions rachetées silencieusement, ou des permissions qui ont évolué depuis l'installation initiale — une pratique simple mais rarement mise en œuvre par les petites structures.
Documenter la politique et la communiquer clairement
Une politique qui existe uniquement dans la tête du gestionnaire informatique ne protège personne. Elle doit être écrite, distribuée à l'ensemble du personnel, expliquée lors de l'accueil des nouveaux employés, et rappelée périodiquement — exactement comme n'importe quelle autre politique de sécurité de l'entreprise.
Bâtissez une politique d'extensions IA solide pour votre PME
IT Cares accompagne les PME québécoises avec de l'audit de sécurité, la revue des extensions installées sur votre parc informatique et la mise en place de politiques concrètes d'usage des outils IA. Pas seulement de la théorie.
Budget réaliste : audit et politique préventive contre coût d'une fuite de données
Pour convaincre une direction d'investir dans une politique d'extensions IA et un audit du parc informatique, la comparaison chiffrée reste l'argument le plus convaincant. Voici les ordres de grandeur observés sur le marché québécois en 2026.
| Poste de dépense | Coût typique (CAD) | Ce que ça couvre |
|---|---|---|
| Audit des extensions installées sur le parc informatique (petite PME, 5-15 postes) | 300 $ à 900 $ | Inventaire complet, identification des extensions à risque, recommandations |
| Rédaction et mise en place d'une politique d'usage des outils IA | 400 $ à 1 200 $ (implantation ponctuelle) | Document écrit, formation courte du personnel, procédure d'approbation |
| Audit de sécurité complet incluant le navigateur et les extensions | 500 $ à 2 000 $ | Revue technique complète, incluant postes, réseau et outils installés |
| Gestionnaire de mots de passe d'entreprise (par employé, par mois) | 3 $ à 8 $ | Réduit l'exposition en cas d'extension compromise capturant des identifiants |
| Fuite de données confirmée touchant des dossiers clients (PME québécoise) | 10 000 $ à plus de 80 000 $ | Notification obligatoire, gestion de crise, perte de confiance, potentiel recours |
L'écart entre ces deux colonnes parle de lui-même : un audit complet des extensions installées et une politique claire pour une PME moyenne coûtent généralement une fraction du coût d'une seule fuite de données confirmée impliquant des dossiers de clients, sans compter l'impact réputationnel souvent plus difficile à chiffrer que la perte financière directe.
Ressources gouvernementales et organismes à connaître
Plusieurs organismes offrent de l'information et des outils pertinents aux PME québécoises et canadiennes concernant la sécurité des extensions et des outils IA.
Centre canadien pour la cybersécurité
Le Centre canadien pour la cybersécurité publie régulièrement des bulletins et des alertes sur les nouvelles catégories de menaces, incluant les risques associés aux extensions de navigateur et aux outils IA émergents. Ces publications constituent une source fiable pour les gestionnaires de PME qui souhaitent suivre l'évolution de la menace sans avoir à interpréter eux-mêmes des rapports techniques spécialisés.
Centre antifraude du Canada (CAFC)
Le Centre antifraude du Canada demeure l'organisme de référence pour signaler tout incident lié à une extension malveillante ayant conduit à une fraude ou à un vol d'identifiants. Un signalement rapide, même en l'absence de perte financière confirmée, aide à identifier des campagnes actives touchant plusieurs organisations.
Commissariat à la protection de la vie privée du Canada
Pour toute PME dont les dossiers clients auraient pu être exposés par une extension malveillante ou une collecte de données non autorisée, le Commissariat à la protection de la vie privée fournit des lignes directrices sur les obligations de notification et les démarches à suivre à la suite d'un incident touchant des renseignements personnels.
Questions fréquentes — Extensions et navigateurs IA
Une extension IA moderne demande souvent des permissions qui vont bien au-delà de ce que nécessitait une extension classique : lire tout le contenu de chaque page visitée, accéder à votre boîte courriel pour « résumer vos messages », remplir des formulaires automatiquement, ou même agir en votre nom sur des sites de paiement et de gestion bancaire. Ces permissions étendues sont souvent justifiées par la fonctionnalité IA elle-même, ce qui rend plus difficile de distinguer une demande légitime d'un accès excessif exploitable par un acteur malveillant.
Les navigateurs IA agentiques développés par de grandes entreprises technologiques ne sont pas malveillants par conception, mais ils élargissent la surface d'attaque de façon inédite : un agent qui peut lire votre écran, remplir des formulaires et naviguer de façon autonome en votre nom devient une cible de choix pour l'injection de contenu malveillant caché dans une page web, une technique connue sous le nom de « prompt injection », capable de détourner les actions de l'agent à votre insu. Le risque ne vient donc pas uniquement d'une extension tierce douteuse, mais aussi de la confiance excessive accordée à l'agent lui-même.
Vérifiez d'abord l'identité réelle du développeur (une entreprise reconnaissable avec un site web vérifiable, pas seulement un nom générique), lisez la liste complète des permissions demandées et posez-vous la question si chacune est réellement nécessaire à la fonction annoncée, consultez le nombre d'utilisateurs et les avis récents plutôt que la note globale, et recherchez le nom de l'extension avec le mot « malware » ou « risque » avant l'installation. Pour un usage en entreprise, cette vérification devrait être effectuée par le service informatique plutôt que laissée à la discrétion de chaque employé.
Oui, dans certains cas. Une extension dotée de la permission de lire le contenu de toutes les pages visitées peut techniquement capturer ce qui apparaît à l'écran, y compris dans un gestionnaire de mots de passe intégré au navigateur ou dans un champ de saisie avant qu'il ne soit masqué. Une extension malveillante conçue pour cela peut extraire ces données silencieusement en arrière-plan. C'est une des raisons pour lesquelles un gestionnaire de mots de passe dédié, distinct du navigateur, reste une pratique recommandée pour les PME.
Une politique claire devrait exiger l'approbation préalable du service informatique avant l'installation de toute extension ou navigateur IA sur un poste professionnel, limiter les permissions accordées au strict nécessaire, interdire l'utilisation d'un navigateur IA agentique pour des tâches impliquant des identifiants bancaires ou des données clients sensibles sans supervision, et prévoir une revue périodique des extensions déjà installées sur le parc informatique de l'entreprise. Cette politique devrait être documentée par écrit et communiquée à l'ensemble du personnel, pas seulement à l'équipe technique.
Désinstallez immédiatement l'extension suspecte, changez sans délai tous les mots de passe qui auraient pu être exposés depuis un appareil différent et non compromis, et faites analyser le poste par un technicien pour vérifier qu'aucun autre logiciel malveillant n'a été installé en parallèle. Documentez l'incident et signalez-le au Centre antifraude du Canada si des données financières ou des identifiants ont potentiellement été compromis. Une vérification professionnelle complète du poste est fortement recommandée avant de reprendre les activités normales sur cet appareil.
Non, pas automatiquement. Les boutiques officielles effectuent une vérification, mais des extensions malveillantes ou compromises après coup y ont régulièrement été découvertes, parfois après des mois de disponibilité et des dizaines de milliers d'installations. Un développeur légitime peut aussi vendre son extension à un tiers qui en modifie ensuite le comportement via une mise à jour automatique, sans que l'utilisateur en soit clairement averti. La présence dans une boutique officielle réduit le risque, mais ne l'élimine pas — la vérification des permissions demeure essentielle.
Commentaires (3)
On a fait l'audit après avoir lu ça et on a trouvé deux extensions installées depuis des mois avec accès complet à tous les sites, personne ne savait vraiment pourquoi. Retirées le jour même.
Le cas du navigateur IA agentique m'a fait réaliser qu'on utilisait un outil similaire sans aucune politique écrite. On a limité son usage en attendant d'encadrer ça correctement.
La checklist est maintenant affichée dans notre salle de pause. Simple mais on ne pensait jamais à vérifier le développeur avant d'installer quoi que ce soit.
Laisser un commentaire