Une page web consultée par un agent IA peut contenir des instructions destinées à détourner sa mission professionnelle.
Les travaux de Google et d’Anthropic éclairent deux dimensions du problème : les tentatives repérées sur le Web et la résistance d’un agent en environnement de test.
Pour les entreprises, l’enjeu est d’évaluer l’automatisation à partir des informations accessibles et des actions autorisées.
Google repère des intentions malveillantes, pas des incidents
Google a recherché ces injections indirectes dans Common Crawl, une archive du Web anglophone essentiellement composée de pages statiques.
Son dispositif combine recherche de signatures, classification par Gemini et validation humaine.
Le groupe relève notamment des tentatives de manipulation commerciale, de vol de données et de destruction de fichiers.
Entre novembre 2025 et février 2026, les détections classées malveillantes progressent relativement de 32 % dans les archives comparées.
Ce chiffre ne mesure ni la réussite des attaques ni les incidents subis par les entreprises.
Une grande partie des réseaux sociaux échappe au corpus, et la méthode peut manquer des formulations inhabituelles.
Les permissions donnent sa portée économique au risque
Anthropic examine une autre question : la résistance de Claude aux injections pendant l’utilisation d’un navigateur.
Dans son évaluation interne, un attaquant adaptatif dispose de cent tentatives par environnement.
Pour Opus 4.5, le taux de réussite des attaques passe de 8 % avec le modèle seul à 1,4 % avec les protections améliorées.
Ces proportions décrivent les configurations testées, sans renseigner sur la fréquence des incidents chez les clients.
La distinction compte pour organiser une délégation professionnelle : consulter des pages pour préparer une comparaison commerciale et transmettre des messages n’engagent pas les mêmes opérations.
Anthropic illustre le second cas par un courriel piégé cherchant à provoquer le transfert de communications confidentielles, dans un scénario hypothétique.
L’analyse économique doit donc rapprocher tâche, accès et permissions : une navigation réussie ne suffit pas à apprécier les conséquences d’un détournement.
Sources
Google — Recherche sur les injections indirectes sur le Web, publication du 23 avril 2026.
Anthropic — Mitigating the risk of prompt injections in browser use, publication du 24 novembre 2025.
Photo : Dennis — CC BY-SA 3.0 (image adaptée)
