Claude Cowork débarque dans Chrome : l'agent qui clique à votre place, avec un passif de failles critiques

Un agent qui prend la souris à votre place

Le 12 août 2026, Anthropic a annoncé que le panneau latéral de Claude dans Chrome n'est plus un simple assistant de conversation, mais une session Cowork complète. Concrètement, l'extension peut désormais voir la page que l'utilisateur consulte, cliquer sur des liens, naviguer d'une page à l'autre, remplir des formulaires et saisir du texte, en réutilisant les identifiants déjà connectés dans le navigateur. Une tâche démarrée dans un onglet Chrome peut se poursuivre, sans perte de contexte, sur l'application de bureau, le web ou le mobile de Claude.

Cette mise à jour arrive une semaine à peine après la fermeture de ChatGPT Atlas par OpenAI, le navigateur autonome qu'elle avait lancé un an plus tôt. Là où OpenAI a choisi de refermer sa tentative de navigateur agentique entièrement nouveau, Anthropic prend le pari inverse : ne pas remplacer Chrome, mais y installer un agent qui agit avec les pleins pouvoirs de l'utilisateur connecté. Le calcul est simple à comprendre, mais il s'accompagne d'un historique de sécurité que l'entreprise ne peut pas effacer d'un simple communiqué.

Ce que Cowork change concrètement dans Chrome

La bascule fonctionne dans les deux sens. Les compétences (skills) et les connecteurs déjà configurés sur l'ordinateur de l'utilisateur fonctionnent désormais aussi dans le navigateur, et chaque conversation démarrée dans Chrome est sauvegardée dans l'historique Claude, au même titre qu'une session lancée depuis l'application de bureau. Anthropic présente cette continuité comme l'objectif principal de la mise à jour : que l'agent ne soit plus limité à l'appareil sur lequel il a commencé une tâche.

Côté disponibilité, la fonction se déploie par paliers. Elle est accessible immédiatement aux abonnés des forfaits Max et Team, et doit arriver progressivement pour les utilisateurs du forfait Pro dans les semaines qui suivent l'annonce. Pour les comptes Entreprise, l'extension reste désactivée par défaut : ce sont les administrateurs qui doivent l'activer explicitement, avec la possibilité de restreindre son usage à une liste de domaines autorisés. Cowork lui-même n'a pas de tarif séparé : il est inclus dans les forfaits payants existants, du Pro à 20 dollars par mois jusqu'à l'Entreprise, à tarification négociée au cas par cas.

Un lancement, une faille documentée en deux jours

Pour comprendre pourquoi cette extension attire autant l'attention des chercheurs en sécurité, il faut remonter à sa naissance. Claude Cowork a été lancé le 12 janvier 2026 comme aperçu de recherche : un agent de bureau capable de lire, créer et modifier des fichiers dans des dossiers locaux, sans ligne de commande, pour des utilisateurs non techniques.

Deux jours après cette sortie, la société de sécurité PromptArmor a publié la démonstration d'une attaque complète. Un document Word contenant un texte en police blanche de un point, invisible à toute relecture humaine, dissimulait des instructions destinées à Claude, déguisées en fichier de « compétence », un format que l'entreprise venait tout juste d'introduire. Ces instructions ordonnaient à l'agent d'exécuter une commande transférant le plus gros fichier disponible sur l'ordinateur, y compris des documents financiers contenant des numéros de sécurité sociale partiels, vers l'API de téléversement d'Anthropic, mais avec la clé d'API de l'attaquant : le fichier atterrissait alors directement dans son compte. L'attaque fonctionnait parce que la machine virtuelle de Cowork bloque la plupart des connexions sortantes, à l'exception du domaine api.anthropic.com, laissé en liste blanche pour que l'agent puisse dialoguer avec Anthropic, une confiance que l'attaque détournait à son profit.

Selon des informations rapportées par GovInfoSecurity, la vulnérabilité exploitée par PromptArmor n'était pas nouvelle : elle aurait été signalée à Anthropic trois mois avant le lancement de Cowork, et l'entreprise en aurait accusé réception, sans pour autant la corriger avant la mise en production du produit. Il s'agit là d'une allégation reprise par plusieurs médias spécialisés en sécurité, pas d'un fait reconnu publiquement par Anthropic dans ces termes précis.

Un texte blanc invisible dans un document Word, et les documents financiers de l'utilisateur atterrissent dans le compte Anthropic de l'attaquant.

Juillet : une faille racine classée sans suite

Six mois plus tard, un deuxième problème, de nature différente, refait surface. Le 23 juillet 2026, la société Accomplish AI publie les détails d'une chaîne d'attaque baptisée SharedRoot, qui exploite une vulnérabilité du noyau Linux référencée CVE-2026-46331, alias « pedit COW », pour obtenir un accès administrateur complet à l'intérieur de la machine virtuelle isolée dans laquelle Cowork exécute ses tâches sur Mac. Une fois cet accès obtenu, un attaquant sort du cadre censé isoler l'agent et peut lire les fichiers de l'utilisateur, selon les détails techniques publiés par les chercheurs et repris par The Hacker News.

Accomplish AI estime qu'environ 500 000 utilisateurs de Mac faisaient tourner des sessions Cowork en local au moment de la divulgation, exposés tant que la faille restait active. La réponse d'Anthropic a été partielle : l'entreprise a classé le rapport comme « informatif », sans publier de correctif direct pour la vulnérabilité elle-même. La version de Cowork sortie depuis fait de l'exécution dans le cloud le choix par défaut, ce qui contourne le chemin d'attaque local sans le fermer : un utilisateur qui choisit malgré tout de faire tourner l'agent en local reste exposé, à moins de durcir sa configuration à la main, en désactivant les espaces de noms utilisateur non privilégiés et en restreignant le partage de système de fichiers.

Les garde-fous que Anthropic met en avant aujourd'hui

Face à cet historique, Anthropic ne présente pas l'arrivée de Cowork dans Chrome les mains vides. L'entreprise décrit un système de filtrage automatique des actions : avant d'exécuter un geste, l'agent évalue son niveau de risque et vérifie l'absence d'instructions cachées malveillantes dans le contenu qu'il traite. Les actions jugées à faible risque s'exécutent directement, les autres sont bloquées ou mises en attente. Pour l'extension Chrome spécifiquement, une vérification distincte s'applique aux actions jugées conséquentes, comme valider un formulaire, envoyer un message ou télécharger un fichier : chacune est comparée à la demande initiale de l'utilisateur avant d'être autorisée. Certains gestes, comme un achat ou le partage de données personnelles, déclenchent systématiquement une demande de confirmation explicite, plutôt qu'une exécution automatique.

Ce renforcement répond, au moins en partie, au mode d'attaque documenté par PromptArmor en janvier : une action conséquente comme un envoi de fichier vers un compte externe devrait, en théorie, désormais être interceptée par cette vérification. Reste que ces garde-fous ont été ajoutés après coup, sur un produit déjà en usage depuis plusieurs mois, et qu'ils n'ont pas empêché la découverte de SharedRoot en juillet, une faille d'une nature entièrement différente, qui ne passe pas par une instruction cachée mais par une escalade de privilèges au niveau du système.

Ce qu'il faut en retenir avant de l'activer

L'arrivée de Cowork dans Chrome répond à un vrai besoin d'usage : pouvoir confier à un agent une tâche qui traverse plusieurs onglets, plusieurs comptes déjà connectés, sans repartir de zéro sur chaque appareil. C'est précisément ce que promettait, sans jamais vraiment y arriver, le navigateur autonome d'OpenAI avant sa fermeture début août. Anthropic ne construit pas un nouveau navigateur, elle greffe un agent sur celui que des milliards de personnes utilisent déjà, ce qui change la surface de risque : ce n'est plus un produit de niche que l'on choisit d'essayer, c'est une extension posée sur l'outil de navigation quotidien de millions d'utilisateurs professionnels.

Le motif qui revient dans les trois épisodes documentés ici, le lancement de janvier, la faille d'exfiltration signalée puis non corrigée avant la sortie, et l'escalade de privilèges classée sans suite en juillet, est le même : un produit mis en avant avant que sa sécurité ne soit pleinement à niveau, avec des correctifs qui contournent le symptôme, comme le passage au cloud par défaut, plutôt que la cause. Pour un utilisateur qui envisage d'activer Cowork dans Chrome, la prudence la plus concrète consiste à éviter l'exécution locale sur des dossiers contenant des documents sensibles, à s'en tenir au mode cloud par défaut plutôt qu'à une configuration locale non durcie, et, pour une entreprise, à restreindre l'extension à une liste de domaines de confiance plutôt qu'à l'ouvrir sans limite dès son activation. Un agent qui clique, remplit des formulaires et déplace des fichiers avec les droits de l'utilisateur connecté mérite le même degré de méfiance qu'on accorderait à un nouvel employé disposant d'un accès complet, pas la confiance par défaut qu'on accorde à un simple assistant de conversation.