ChatGPT pilote tes onglets Chrome : ce qui change pour toi

Le 15 octobre 2026, OpenAI a mis à jour son extension ChatGPT pour navigateur. En mode Chat, elle regarde l’ensemble de tes onglets ouverts pour répondre. En mode Work, elle agit dedans : messages envoyés, formulaires remplis, fichiers téléchargés. Et elle le fait sur des sites où ta session est déjà ouverte.

En bref : OpenAI a résumé la mise à jour sur X d’une phrase relevée par PPC Land : « We’re bringing the power of computer use to anyone who uses Chrome ». L’extension affiche 7 000 000 d’utilisateurs sur le Chrome Web Store, selon Unite.AI. La documentation d’OpenAI classe deux réglages en risque élevé : l’autorisation « Allow for all sites » et l’accès à l’historique. Le point faible connu de ces outils porte un nom, l’injection de prompt : une page web peut contenir des instructions cachées que l’agent exécute. Anthropic a publié des chiffres pour son propre agent de navigation ; pour cette mise à jour, OpenAI n’en a publié aucun.

Ce qu’OpenAI a annoncé le 15 octobre 2026

L’annonce est venue du compte ChatGPT sur X, le 15 octobre 2026. La formulation d’OpenAI, citée par PPC Land, distingue deux usages : « If you’re in Chat, it can look across your open tabs and gather info. If you’re in Work, ChatGPT can control your Chrome tabs to get things, like sending messages, filling out forms, or downloading files. »

L’exemple donné pour le mode Chat est une comparaison : trois canapés ouverts dans trois onglets, à départager selon les dimensions, le matériau, le délai de livraison et la politique de retour. Le mode Work va plus loin : il remplit le formulaire ouvert devant toi, et sait aussi ranger la pile d’onglets que tu traînes depuis trois jours.

Deux autres changements comptent. Tu peux appeler la fonction depuis l’application ChatGPT par une mention « @Chrome ». Et une conversation latérale, le side chat, ouvre tout ton historique ChatGPT à côté de la page consultée. D’après la documentation d’OpenAI, l’extension fonctionne sur Chrome, Edge, Brave, Opera et Vivaldi ; le side chat est absent d’Opera.

Un point reste flou, et PPC Land le souligne. OpenAI écrit que la fonction est disponible « for all ChatGPT plans », mais le contrôle du navigateur passe par le mode Work, lancé en juillet pour Pro, Enterprise, Edu, Plus et Business. Génération-NT écrit le 19 octobre que la version gratuite est incluse. OpenAI ne tranche pas : vérifie dans ton propre compte.

Les quatre autorisations, et pourquoi « Allow for all sites » est classée en risque élevé

Par défaut, ChatGPT demande la permission avant d’intervenir sur chaque nouveau site. La documentation liste quatre réponses : « Allow once », « Allow for this site », « Allow for all sites » et « Decline ».

Deux de ces choix sont marqués Elevated Risk par OpenAI : « Allow for all sites » et l’accès à l’historique de navigation. La raison est écrite noir sur blanc : l’historique « can include sensitive telemetry, internal URLs, search terms ». Pour l’historique, il n’existe d’ailleurs pas d’autorisation permanente : l’accès est limité à la requête en cours, et ChatGPT redemande à chaque fois.

À l’installation, c’est Chrome qui affiche la liste des permissions techniques. XenoSpectrum la détaille : lecture et modification des données sur tous les sites, accès au débogueur de la page, historique, marque-pages, téléchargements, groupes d’onglets. Ce sont les permissions normales d’une extension qui pilote un navigateur. Ce sont aussi, exactement, celles d’une extension malveillante.

Le vrai point sensible : un agent dans des onglets où tu es déjà connecté

La documentation d’OpenAI décrit la fonction sans détour : elle permet à ChatGPT de « read or act on sites where you’re already signed in, such as LinkedIn, Salesforce, Gmail, or internal tools ».

Traduis ça dans ta vie d’étudiant. L’agent n’a pas de compte à lui : il utilise le tien, avec ta session ouverte — ENT, messagerie universitaire, Moodle, dépôt des devoirs, portail de candidature de stage. Tout ce que tu peux faire d’un clic depuis ces onglets, il peut le faire aussi.

Et rien ne garantit qu’il s’arrête avant d’appuyer. XenoSpectrum est explicite : « there is no guarantee that every action, such as submitting a form on an approved site, will prompt for reconfirmation ». Tu peux lui demander de te montrer le formulaire avant l’envoi, mais une consigne que tu donnes n’est pas un garde-fou produit.

Injection de prompt : ce qu’une page web peut dire à ton agent sans que tu le voies

L’injection de prompt est la faille structurelle de tous les agents qui lisent le web. Le modèle ne distingue pas vraiment ce que tu lui demandes de ce qu’il lit sur une page. Un texte posé au bon endroit — en blanc sur blanc, dans un champ de formulaire invisible, dans un commentaire, dans un titre d’onglet — peut donc lui donner un ordre.

OpenAI le dit dans sa propre documentation : « Treat page content as untrusted context, and review the website before allowing ChatGPT to continue », et un contenu trompeur « can increase the risk that ChatGPT copies this data somewhere unintended ». XenoSpectrum résume : « Even on a legitimate site you chose, text on the page is not necessarily an appropriate instruction. »

Le scénario qui te concerne n’a rien d’exotique : un corrigé trouvé sur un forum d’entraide, un PDF de cours déposé par un inconnu, une annonce de stage sur un site douteux. Une seule phrase adressée à l’agent suffit pour qu’il tente de l’exécuter, pendant que tu regardes ailleurs.

23,6 % puis 11,2 % chez Anthropic, aucun chiffre public chez OpenAI

Il existe un point de comparaison chiffré, et il vient du concurrent. Dans Piloting Claude in Chrome, publié le 25 août 2025, Anthropic décrit ses tests adverses sur son propre agent de navigation : 123 cas de test, 29 scénarios d’attaque. Sans garde-fous, l’agent exécutait l’action malveillante dans 23,6 % des cas ; avec les protections ajoutées, 11,2 %. Sur une série d’attaques propres au navigateur — champs cachés dans le DOM, texte glissé dans une URL ou un titre d’onglet, invisibles pour un humain — les nouvelles protections font passer le taux de réussite de 35,7 % à 0 %.

Deux lectures. La bonne : on sait réduire fortement le risque. La moins bonne : 11,2 %, ce n’est pas zéro, et Anthropic recommandait d’éviter l’agent « for sites that involve financial, legal, medical, or other types of sensitive information ».

OpenAI connaît le problème et l’a écrit. Dans son billet Continuously hardening ChatGPT Atlas against prompt injection, publié le 22 décembre 2025, l’entreprise compare l’injection de prompt aux arnaques et à l’ingénierie sociale sur le web, qui n’ont jamais été « fully “solved” » non plus, rapporte The Decoder. OpenAI se dit « optimistic » qu’« a proactive cycle of attack detection and rapid countermeasures can significantly reduce real-world risk over time ». C’est honnête. Mais pour la mise à jour du 15 octobre, PPC Land note qu’aucun taux de résistance n’a été publié.

Ce qui part dans la conversation, et ce qu’OpenAI ne dit pas encore

Sur la conservation, la documentation d’OpenAI tient en deux phrases. D’un côté : « OpenAI doesn’t store a separate complete record of your browser actions ». De l’autre : « OpenAI stores browser activity only when it becomes part of the ChatGPT context ».

La seconde est la plus importante. Dès que l’agent lit une page ou en prend une capture d’écran pour s’y repérer, ce contenu entre dans la conversation — et suit dès lors les règles de conservation de ChatGPT, comme le relève XenoSpectrum. Un onglet ouvert sur ton relevé de notes devient, à ce moment précis, du texte dans un historique de chat.

Trois choses manquent encore, selon PPC Land : la liste des pays couverts, une politique de conservation propre au contenu des onglets, et toute mesure de sécurité chiffrée. À comparer avec le passif : d’après Unite.AI, OpenAI a abandonné son navigateur Atlas, arrêté le 9 août 2026, et renvoie ses utilisateurs vers cette extension.

Mode d’emploi pour réviser : trois usages raisonnables, trois interdits

Trois usages où le rapport bénéfice-risque est bon, parce qu’ils restent en lecture et sur des sites que tu as choisis :

• Comparer des sources ouvertes côte à côte. Quatre articles sur un même sujet, et une question du type « où ces textes se contredisent-ils ? ». L’agent lit, tu décides.
• Rassembler les métadonnées d’une bibliographie. Titres, auteurs, dates, éditeurs récupérés depuis tes onglets. La mise en forme exacte en APA 7, ISO 690 ou Vancouver se fait ensuite avec la skill bibliographie-normes, qui n’invente jamais un champ manquant.
• Ranger tes onglets. L’usage le plus modeste, et le seul totalement sans risque.

Trois interdits, à tenir sans exception :

• Jamais « Allow for all sites ». Autorise site par site : deux clics de plus, et la seule barrière réellement à ta main.
• Jamais ta messagerie universitaire, ton ENT ni le dépôt d’un devoir. Un message parti à ta place à ton directeur de mémoire ne se rattrape pas, et un dépôt raté à 23 h 58 non plus.
• Jamais un formulaire qui engage. Dossier de bourse, inscription administrative, candidature, paiement : tu remplis, tu relis, tu valides. Toi.

Et le réflexe habituel : vérifie les règles d’usage de l’IA de ton établissement. Un agent qui agit à ta place dans un espace pédagogique n’est pas traité partout comme un simple assistant de lecture.

Ce que ça change pour toi

La question n’est plus « est-ce que l’IA a raison ? » mais « qu’est-ce qu’elle a le droit de faire ? ». Le risque d’un chatbot était de te donner une information fausse. Celui d’un agent de navigateur est de faire une action irréversible avec ton identité. Ce n’est pas la même compétence : la première demande de l’esprit critique, la seconde de la discipline sur les autorisations.

Une page web n’est pas une source d’instructions. La règle vaut pour tous les agents, pas seulement celui-ci. Avant de laisser un outil agir dans un onglet, pose-toi la question : si cette page contenait un ordre caché, que pourrait-elle lui faire faire avec mes droits à moi ?

Notre lecture

Le plus intéressant dans cette annonce n’est pas la fonction, c’est le vocabulaire. OpenAI classe deux de ses propres réglages en Elevated Risk, écrit noir sur blanc qu’il faut traiter le contenu des pages comme non fiable, et avait déjà reconnu en décembre 2025 que l’injection de prompt ne serait probablement jamais résolue. Un éditeur qui documente aussi clairement les limites de son outil fait son travail.

Le déséquilibre est ailleurs. Anthropic a publié des taux d’attaque mesurés, avant et après correctifs. Pour une fonction déployée sur une extension à 7 millions d’utilisateurs, OpenAI publie une documentation de sécurité sérieuse mais aucun chiffre. Tant que les éditeurs ne mesurent pas publiquement la même chose, comparer deux agents de navigation relève de l’intuition. En attendant, la seule variable que tu contrôles vraiment reste la liste des sites que tu autorises.

FAQ

L’extension est-elle disponible avec un compte ChatGPT gratuit ?

C’est le point flou. OpenAI annonce la fonction « for all ChatGPT plans », mais le contrôle des onglets passe par le mode Work, lancé en juillet pour Pro, Enterprise, Edu, Plus et Business. Génération-NT écrit que la version gratuite est incluse. Regarde ce que ton compte propose.

Quelle différence entre le mode Chat et le mode Work ?

En Chat, ChatGPT lit tes onglets et répond. En Work, il agit dedans : messages, formulaires, téléchargements, regroupement d’onglets. Le premier est de la lecture, le second de l’action avec ton identité.

Est-ce que mes onglets sont conservés par OpenAI ?

La documentation dit qu’OpenAI ne garde pas de journal complet séparé de tes actions dans le navigateur, mais que l’activité est stockée dès qu’elle entre dans le contexte de la conversation. Les textes lus et les captures d’écran en font partie.

Sur quels navigateurs ça marche ?

Chrome, Edge, Brave, Opera et Vivaldi d’après la documentation d’OpenAI. Le side chat n’est pas disponible sur Opera.

Pour aller plus loin

• ChatGPT pour ados : outils scolaires et alerte sécurité
• Character.AI en faillite : que deviennent tes conversations ?
• Dots d’OpenAI : des agents permanents, mais pas en Europe
• La skill bibliographie-normes