Hier, 9 août 2026, un navigateur d'IA a cessé de fonctionner. Pas une panne : une date de fin annoncée un mois plus tôt, tenue à l'heure. Son éditeur écrit noir sur blanc, dans sa note de migration, qu'il « déprécie Atlas et déplace les capacités agentiques de navigation dans ChatGPT et Codex » — « We're deprecating Atlas and moving browser-based agentic capabilities into ChatGPT and Codex » — et prévient qu'après cette date, le produit « pourrait ne plus s'ouvrir, ni naviguer, ni prendre en charge les flux agentiques de navigation ».
La disparition d'un produit n'est pas en soi un sujet. Ce qui l'est, c'est où l'agent va naviguer maintenant. La réponse tient en une phrase : dans votre navigateur, pas dans le sien. Et ce déplacement, discret dans une note de version, change la nature du risque que vous prenez en confiant une course à un agent.
Deux endroits très différents où un agent peut naviguer
Depuis deux ans, deux architectures coexistaient sans qu'on les distingue vraiment, parce qu'elles rendaient le même service apparent : l'agent clique à votre place.
| Navigateur dédié à l'agent | Agent dans votre navigateur | |
|---|---|---|
| Profil, cookies, historique | Les siens, séparés | Les vôtres |
| Sessions ouvertes | Celles que vous y avez ouvertes, une par une | Toutes celles où vous êtes déjà connecté |
| Mots de passe | Coffre distinct, souvent vide | Votre gestionnaire, s'il est actif |
| Périmètre d'une erreur | Borné au profil de l'agent | Tout ce que vous avez d'ouvert |
| Adoption | Il faut installer et migrer | Une extension, rien à migrer |
Le second modèle gagne, et pas pour des raisons de sécurité : il gagne parce qu'il ne demande rien. L'éditeur qui referme son navigateur le dit lui-même, en orientant vers son application de bureau pour le travail agentique poussé et vers « l'extension ChatGPT pour Chrome ou le panneau latéral » pour l'aide en cours de navigation. Un autre acteur va plus loin et l'écrit sans détour dans son relevé de juillet 2026 : son agent « peut utiliser vos comptes connectés et vos mots de passe enregistrés pour traiter de fastidieuses courses en ligne, comme planifier des visites d'appartements ou chercher des options de vol et amorcer la réservation » — « Spark can use your logged-in accounts and saved passwords to handle tedious web errands ».
Lisez cette phrase deux fois. Elle ne décrit pas une permission que vous accordez site par site. Elle décrit un agent qui hérite, d'un coup, de tout ce que votre navigateur sait déjà de vous.
Quatre choses changent de nature, pas de degré
Un. Le périmètre d'une erreur n'est plus borné. Dans un navigateur dédié, un agent qui se trompe de bouton se trompe dans un environnement où vous aviez ouvert trois sessions. Dans le vôtre, il se trompe là où vous avez votre messagerie, votre outil de gestion, votre espace client bancaire et le tableau de bord de production. Le même modèle, la même erreur, une conséquence sans commune mesure.
Deux. L'authentification à deux facteurs cesse d'être une barrière. Elle protège la connexion, pas la session déjà ouverte. Un agent qui agit dans un onglet où vous êtes connecté depuis ce matin ne rencontrera aucun deuxième facteur — vous l'avez déjà franchi pour lui.
Trois. L'injection par le contenu de la page devient exploitable. Un agent qui lit une page pour décider de son prochain clic lit aussi ce qu'un tiers a écrit sur cette page : un commentaire, un champ de description, un document partagé. C'est le mécanisme décrit dans Injection de prompt : la faille de sécurité sans correctif, sauf qu'ici la charge utile ne s'exécute plus dans un bac à sable : elle s'exécute avec vos cookies.
Quatre. La traçabilité disparaît. Les journaux du site visité porteront votre identifiant, votre adresse, votre empreinte de navigateur. Six mois plus tard, personne ne saura dire si c'est vous ou l'agent qui a validé l'opération. C'est précisément le trou que l'article Gouverner un agent autonome : qui répond de ses actes ? décrit côté principes, et que le suivant de cette série traite côté outillage.
Cloisonner : le profil dédié, et rien d'autre
La parade tient en une décision, et elle est gratuite. Les navigateurs du marché savent tenir plusieurs profils étanches : chacun a ses cookies, son historique, son gestionnaire de mots de passe et ses extensions. Un profil ne voit pas les sessions d'un autre.
Donnez donc à l'agent un profil à lui. Vous y ouvrez, à la main, uniquement les comptes dont il a besoin pour la course du jour. Vous n'y enregistrez aucun mot de passe. Vous n'y installez aucune extension autre que la sienne. Et vous fermez les sessions quand la course est finie. Ce n'est pas une architecture, c'est une hygiène — mais elle rétablit la propriété que le modèle du navigateur dédié offrait gratuitement, et que le repli dans votre navigateur a supprimée sans le dire.
Le panneau latéral n'est pas l'agent
Une confusion s'installe, et elle vient du fait que les deux fonctions arrivent par la même extension. Le panneau latéral lit la page que vous avez ouverte et vous répond à côté : il résume, traduit, explique. Il ne clique pas. L'agent, lui, prend la main sur la navigation : il ouvre des onglets, remplit des champs, valide des formulaires. Le premier consomme du contenu, le second produit des effets.
La distinction n'est pas cosmétique, parce qu'elle change ce que vous devez surveiller. Un panneau latéral pose une question de confidentialité : que part-il de cette page vers un serveur distant, et votre politique interne l'autorise-t-elle sur ce document-là ? Un agent pose une question d'autorité : qu'a-t-il le droit de valider en votre nom ? Répondre à l'une ne répond pas à l'autre, et une organisation qui a arbitré la confidentialité croit souvent, à tort, avoir arbitré les deux.
Vérifiez donc laquelle des deux fonctions vos équipes utilisent réellement, parce que l'écart entre ce qui est installé et ce qui est activé est presque toujours important. Une extension présente sur cinq cents postes, utilisée en lecture par quatre cents personnes et en pilotage par vingt, ne demande pas la même politique — mais elle demande de savoir qui sont les vingt. C'est le préalable à toute règle : tant que vous ne distinguez pas lire de faire, vous ne pouvez encadrer ni l'un ni l'autre. Le raisonnement est le même que dans Encadrer l'usage de l'IA dans son entreprise sans la pousser dans l'ombre : une règle qui ignore l'usage réel est contournée avant d'être lue.
Ce que le repli dit du reste de votre outillage
Un navigateur d'IA arrêté un mois après l'annonce, avec des marque-pages qui ne migrent pas automatiquement et un historique qui « pourrait ne pas être transféré », c'est un rappel utile : la couche agentique bouge plus vite que vos procédures. Le catalogue d'outils que vous aviez arbitré au printemps ne décrit plus le paysage d'aujourd'hui — deux des produits que compare Qui pilote vraiment votre machine ? ont changé de forme depuis.
La conséquence pratique n'est pas de tout réévaluer chaque trimestre. Elle est de ne jamais faire reposer un processus sur une capacité agentique qui n'a pas d'équivalent manuel documenté. Si l'agent qui relève vos commandes disparaît vendredi, quelqu'un doit pouvoir les relever lundi sans lui. C'est la même discipline que celle décrite dans Ne pas dépendre d'un seul fournisseur d'IA, appliquée non plus au modèle, mais au geste.
Le protocole, à exécuter chez vous
Voici comment trancher, en une heure, sans croire personne sur parole. Il ne produit pas un classement d'outils : il produit votre décision, sur vos comptes.
- Créez le profil dédié et n'y ouvrez qu'une seule session : un compte sans valeur, sur un service que vous maîtrisez.
- Écrivez une course de référence en trois étapes, dont une qui exige de lire une page et une qui exige de remplir un formulaire. La même course servira à tous les outils que vous comparez.
- Posez un piège d'injection : dans une page que l'agent devra lire, insérez une phrase qui lui demande de faire autre chose. Vous saurez en un essai s'il la suit.
- Comptez trois choses : le nombre d'étapes réussies sans intervention, le nombre de confirmations demandées, et le temps total y compris votre relecture. Le troisième chiffre est celui qu'on oublie et qui décide.
- Rejouez la course trois fois. Un agent qui réussit une fois sur trois n'est pas un agent qui réussit : c'est un agent qu'il faut surveiller, ce qui coûte plus cher que de faire soi-même.
Ce dernier point est le plus souvent escamoté dans les démonstrations. La question n'est pas « en est-il capable ? » mais « à quelle fréquence ? » — et c'est aussi le cœur de Superviser un agent IA qui travaille en continu.
Reste une question que le profil dédié ne résout pas : quand l'agent doit accéder à vos systèmes internes, pas à des sites publics, lui prêter votre session est un pis-aller. Il lui faut des identifiants à lui. C'est le sujet de l'article suivant. Les mouvements de produits sont suivis dans le radar IA et dans le bulletin Nouveautés.
Une question, un projet IA ?
Vos équipes utilisent un agent de navigation dans leur navigateur de travail, et vous cherchez où poser la limite entre lire et faire ? Échangeons sur votre contexte.
Prendre contact →