Une faille récemment découverte dans le navigateur Comet de Perplexity permet à des extensions cachées d’exécuter des commandes locales à l’insu des utilisateurs et sans leur consentement.
Des chercheurs en sécurité de SquareX ont découvert que Comet rompt avec les modèles de sécurité des navigateurs établis de longue date en exposant des capacités au niveau du système que les navigateurs traditionnels interdisent délibérément.
Les chercheurs ont déclaré que « …Comet a mis en place une API MCP qui permet à ses extensions intégrées d’exécuter des commandes locales arbitraires sur les appareils hôtes sans l’autorisation explicite de l’utilisateur. »
Des extensions cachées ont conféré à Comet un accès au niveau du système
Les chercheurs de SquareX ont découvert que Comet installait deux extensions intégrées cachées — une extension d’analyse et une extension d’automatisation agentique — sans les afficher dans le tableau de bord des extensions du navigateur.
Les utilisateurs ne peuvent ni désactiver ni afficher ni gérer ces extensions, bien qu’elles bénéficient de privilèges spéciaux.
La vulnérabilité repose sur un appel d’API privé, chrome.perplexity.mcp.addStdioServer qui permet à ces extensions d’exécuter des commandes arbitraires sur la machine hôte.
Comme l’API MCP n’est pas documentée et n’est mentionnée nulle part dans les conditions générales de Comet, les utilisateurs n’avaient aucun moyen de savoir que le navigateur était capable d’exécuter des actions au niveau de l’appareil.
En pratique, cela signifie qu’une compromission du navigateur — par XSS, attaque de la chaîne d’approvisionnement ou interception de type « homme du milieu » — pourrait instantanément permettre à des attaquants de déployer un rançongiciel, d’exfiltrer des fichiers ou de lancer des applications locales.
SquareX a démontré avec succès ce risque en exécutant WannaCry sur un terminal de test via Comet.
À l’intérieur de la chaîne d’exploitation de l’API MCP
SquareX a présenté une preuve de concept complète montrant comment des adversaires pourraient transformer l’API MCP en arme.
Dans un premier temps, les attaquants effectuent un écrasement d’extension en extrayant la clé de manifeste de l’extension légitime de Comet, puis en l’utilisant pour créer une extension usurpée possédant le même identifiant.
Une fois cette extension malveillante chargée latéralement, Comet effectue un remplacement silencieux, la traitant comme sa propre extension intégrée et la masquant du menu des extensions.
L’extension usurpée procède ensuite à une injection de script, ajoutant du code malveillant aux pages de perplexity[.]ai.
Enfin, le script injecté déclenche l’exécution de commandes locales en demandant à l’extension agentique de Comet d’appeler l’API MCP, ce qui permet à un rançongiciel de s’exécuter directement sur l’appareil de l’utilisateur.
En contournant complètement le bac à sable du navigateur, la faille supprime de fait la principale couche d’isolation sur laquelle reposent les navigateurs modernes.
Les navigateurs traditionnels restreignent l’accès des extensions aux API Native Messaging, qui exigent l’approbation explicite de l’utilisateur et une configuration au niveau du registre — des étapes contournées par l’API MCP.
SquareX précise qu’aucun élément ne prouve que Perplexity ait détourné l’API, mais sa conception non documentée et ses extensions cachées créent un risque lié aux fournisseurs tiers pour les entreprises.
Protéger votre environnement contre les failles des navigateurs IA
La découverte de l’API MCP non documentée de Comet montre à quelle vitesse les navigateurs pilotés par l’IA peuvent introduire des risques inattendus au niveau du système.
Les équipes de sécurité doivent considérer tout navigateur IA comme une application à haut risque et appliquer des contrôles qui limitent sa portée, sa visibilité et sa capacité à exécuter des actions locales.
- Bloquez ou restreignez l’utilisation du navigateur Comet jusqu’à ce que Perplexity publie un avis complet et des correctifs documentés.
- Appliquez des politiques strictes de contrôle des applications et de MDM afin d’empêcher l’installation latérale ou non approuvée de navigateurs et d’extensions.
- Auditez les terminaux et les journaux EDR pour détecter les extensions non autorisées, les processus enfants suspects ou toute activité anormale d’exécution de commandes locales.
- Renforcez la surveillance réseau afin de détecter les connexions inhabituelles vers les sous-domaines de perplexity.ai ou le trafic sortant inattendu des processus du navigateur.
- Utilisez la segmentation zero-trust ou l’isolation du navigateur afin de limiter ce à quoi les navigateurs dotés d’IA peuvent accéder dans les environnements d’entreprise.
- Examinez tous les outils d’IA tiers afin d’identifier les capacités agentiques cachées, les API au niveau du système non documentées ou les écarts par rapport aux modèles de sécurité standards des navigateurs.
- Mettez en place une liste d’autorisation des communications sortantes et des restrictions au niveau du système d’exploitation afin d’empêcher les navigateurs de lancer des commandes système ou d’interagir directement avec les ressources locales.
Renforcer la cyberrésilience exige de partir du principe que même des outils de confiance peuvent introduire des risques cachés et de préparer des défenses qui limitent l’impact de vulnérabilités inattendues.
Les risques cachés des navigateurs dotés d’IA
Cet incident met en lumière un problème plus vaste : les navigateurs IA et les outils web agentiques évoluent plus vite que les cadres de sécurité traditionnels ne peuvent les surveiller.
Dans la course à la mise sur le marché de nouvelles fonctionnalités, les fournisseurs peuvent introduire des capacités — comme l’exécution de commandes locales — qui compromettent fondamentalement les modèles établis de bac à sable et d’autorisation.
On ne peut pas supposer que les navigateurs enrichis par l’IA héritent du niveau de sécurité des navigateurs traditionnels.
Ces risques montrent clairement que les entreprises doivent adopter une approche zero-trust qui considère chaque navigateur, processus et connexion comme non fiable jusqu’à preuve du contraire.