Navigateurs IA en 2026 : ce que savent faire les agents, et où ils échouent

En 2026, les navigateurs IA excellent dans une tâche et se montrent prometteurs sur une seconde. Ils lisent, résument et comparent le contenu de vos onglets ouverts assez bien pour un usage quotidien, et leurs modes agent savent désormais remplir des formulaires, composer un panier ou réserver un créneau sur des sites où vous êtes connecté. Mais ils ne mènent à bien qu'une minorité de tâches réelles, ils sont lents, et aucun éditeur ne prétend avoir réglé l'injection de prompt, l'attaque qui transforme une page web en instructions pour votre agent.

La catégorie a changé de visage cette année. OpenAI a fermé son navigateur ChatGPT Atlas et déplacé l'agent dans l'application de bureau ChatGPT. Microsoft a retiré Copilot Mode d'Edge. Google a intégré à Chrome un agent baptisé auto browse, Comet de Perplexity est arrivé sur les quatre grandes plateformes, et Anthropic a rendu Claude in Chrome disponible pour tous, avec approbation automatique des actions qu'il juge sûres. Une cour d'appel fédérale a par ailleurs estimé que lorsque Comet fait des achats sur Amazon, c'est l'acheteur qui accède aux ordinateurs d'Amazon.

Si vous hésitez à en adopter un au travail, ou à autoriser votre équipe à le faire, deux questions comptent : quelles tâches il mène à terme, et ce qu'une page malveillante peut lui faire faire. Ce guide examine les deux à partir de la documentation des éditeurs et de recherches publiées, puis vous propose une configuration, un outil de vérification des tâches, un sélecteur de navigateur et une règle pour les équipes.

Le marché des navigateurs IA s'est replié sur ceux que vous utilisez déjà

Les fonctions d'agent ont migré cette année vers Chrome, Edge et les applications de chat que vous payez déjà. ChatGPT Atlas n'a pas tenu un an. Lancé sur Mac l'an dernier, jamais arrivé sur Windows, il a été retiré par OpenAI cette année. Ses fonctions ont été réparties de trois façons : une extension ChatGPT pour Chrome qui répond aux questions sur la page que vous consultez, un navigateur intégré à l'application de bureau ChatGPT capable de se connecter à des sites et de télécharger des fichiers, et un navigateur cloud sur les serveurs d'OpenAI où l'agent exécute les tâches à distance (TechCrunch).

Microsoft a fait un choix similaire. Copilot Mode d'Edge a été retiré, et la fonction d'agent anciennement appelée Copilot Actions s'appelle désormais Browse with Copilot : elle exige un abonnement Microsoft 365 Premium et ne fonctionne que sur Edge pour ordinateur, aux États-Unis (Microsoft Edge Blog). La version gratuite de Microsoft Copilot dans Edge a conservé les fonctions de lecture utiles, notamment des réponses qui s'appuient sur plusieurs onglets ouverts à la fois.

Google Gemini dans Chrome, lui, a pris de l'ampleur. Le panneau latéral qui résume les pages et compare les onglets s'est étendu cette année à l'Inde, au Canada et à la Nouvelle-Zélande, puis à l'Amérique latine, à l'Afrique et au Moyen-Orient. L'agent est une option payante. Auto browse est inclus dans Google AI Pro à 19,99 $ par mois ou dans Google AI Ultra à partir de 99,99 $ par mois (Google AI plans), et pour l'instant il ne fonctionne qu'aux États-Unis, sur ordinateur et sur Android.

Perplexity a rendu Comet gratuit l'an dernier et ajouté iOS cette année : il tourne donc sur Windows, Mac, Android et iPhone, et une édition Comet Enterprise apporte des contrôles d'administration. Dia, de The Browser Company, que Atlassian a accepté de racheter l'an dernier, est un navigateur Mac centré sur des réponses tirées de vos onglets et de vos applications de travail. Le navigateur est gratuit et ses forfaits IA coûtent 20 $ ou 100 $ par mois (Dia pricing). Opera Neon est devenu gratuit au téléchargement cette année, avec ses agents intégrés sur un forfait à 19,90 $ par mois. Brave Leo teste un agent qui ne fonctionne que dans un profil séparé. De nouveaux venus continuent d'arriver, comme Polar, créé par un ancien ingénieur de Comet.

Claude in Chrome, d'Anthropic, est une extension plutôt qu'un navigateur, mais il remplit le même rôle. Il est inclus dans tous les forfaits Claude payants et, depuis sa disponibilité générale, il approuve les actions de lui-même par défaut, un classificateur vérifiant chacune d'elles par rapport à votre demande (Anthropic).

Regardez d'abord la colonne de droite. L'agent, c'est-à-dire la partie qui agit à votre place, est ce qui coûte de l'argent, ce qui subit des restrictions régionales et ce qui comporte le risque. La partie lecture est gratuite presque partout.

Ce qui se passe quand vous confiez une tâche à un agent

Tous les modes agent suivent la même boucle. L'agent regarde la page, décide d'une étape, l'exécute, vérifie ce qui a changé, puis recommence jusqu'à ce que la tâche soit terminée ou qu'il atteigne une étape qu'on lui a demandé de vous rendre.

Ce que voit le modèle ressemble beaucoup à ce que vous voyez. Browse with Copilot de Microsoft prend des captures d'écran pendant qu'il travaille, les conserve avec votre conversation jusqu'à 30 jours, signale l'onglet qu'il contrôle par une icône de curseur et vous laisse reprendre la main à tout moment (Microsoft Support). Dans l'affaire Amazon, la cour d'appel a retenu la version de Perplexity selon laquelle l'assistant de Comet s'exécute sur l'appareil de l'utilisateur et les serveurs de Perplexity ne communiquent pas directement avec Amazon (un point qu'Amazon conteste désormais pour l'application iPhone).

L'étape de confirmation est la plus importante, et chaque éditeur place la limite à un endroit différent. Google affirme que l'auto browse de Chrome s'interrompt avant les achats et les publications sur les réseaux sociaux. Edge demande confirmation avant les achats, les réservations, l'envoi d'e-mails et la suppression d'événements de calendrier, et son agent ne peut pas du tout utiliser les mots de passe enregistrés, le remplissage automatique ni les données de portefeuille. Claude in Chrome demandait auparavant confirmation avant chaque action par défaut. Il décide maintenant lui-même quelles actions sont sûres, et il faut réactiver l'approbation manuelle dans les réglages si vous voulez une confirmation à chaque fois.

Les tâches que les modes agent gèrent bien aujourd'hui

C'est dans la lecture que ces navigateurs sont les plus utiles. Demandez au panneau latéral de comparer trois pages de tarifs que vous avez ouvertes ou d'extraire les conditions de résiliation d'une longue page de politique, et vous avez la réponse en quelques secondes, sans surcoût dans Chrome et Edge. Si c'est tout ce qu'il vous faut, un moteur de réponses peut suffire, et notre comparatif des moteurs de recherche IA détaille les options.

Côté agent, les corvées avec une ligne d'arrivée claire conviennent bien. Selon TechCrunch, les premiers testeurs de Google ont utilisé auto browse pour prendre des rendez-vous, remplir des formulaires fastidieux, rassembler des documents fiscaux, obtenir des devis de plombiers et d'électriciens et déposer des notes de frais. Les démos Android de Google réservent une place de parking à partir des détails d'un billet d'événement et modifient une commande de nourriture pour animaux. La recherche multisite fonctionne aussi. Un agent qui ouvre dix pages de fournisseurs et remplit un tableau comparatif fait gagner un temps réel, et une erreur coûte une revérification plutôt qu'un remboursement.

Ces tâches ont trois points communs : elles sont ciblées, leur résultat se vérifie facilement et une erreur coûte peu. Polar indique que la plupart de ses utilisateurs ne s'en servent que pour l'automatisation et gardent un autre navigateur pour la navigation courante. C'est un bon réflexe pour quiconque essaie un agent pour la première fois.

Là où la navigation agentique échoue encore

Les taux de réussite sur les sites réels restent faibles. ClawBench, un benchmark conçu par une équipe de recherche de 28 auteurs, a soumis 153 tâches du quotidien (achats, prises de rendez-vous, candidatures) sur 144 plateformes réelles, avec une couche d'interception qui empêchait toute action d'aboutir pour de bon. Le meilleur des huit modèles de pointe, Claude Sonnet 4.6, en a accompli 33,3 % (ClawBench). Ces tâches exigent par exemple de remplir correctement de nombreux champs de formulaire détaillés.

Viennent ensuite la vitesse et le jugement. Un testeur de TechCrunch qui a utilisé Atlas et Comet parle d'un léger gain d'efficacité, l'essentiel du temps étant passé à regarder l'agent cliquer lentement sur un site. Le test de l'auto browse de Chrome par Wired a été plus sévère. À qui lui demandait deux places de symphonie côté allée et hors de la section orchestre, il a proposé deux places à 185 $ bien côté allée et hors orchestre, mais dans des rangées différentes. Une demande de vérification de campings a tourné 15 minutes, en a vérifié un seul, puis a dit au testeur de chercher les autres lui-même.

Les connexions et les paiements sont des points d'arrêt volontaires. Chrome demande confirmation avant d'utiliser votre gestionnaire de mots de passe, et Edge for Business impose une pause aux champs de mot de passe et de carte bancaire : vous restez donc nécessaire devant le clavier. Chrome plafonne aussi le nombre d'actions auto browse par jour, et Google n'a pas publié ce chiffre.

Certains sites ne veulent tout simplement pas d'agents. eBay a modifié son contrat d'utilisation pour interdire les commandes passées sans examen humain, rapporte The Register. Quand Amazon a bloqué l'agent Muse de Meta, les utilisateurs ont vu une fenêtre indiquant que la poursuite de l'accès par un agent IA non autorisé enfreint ses Conditions d'utilisation (plus sur Amazon ci-dessous). La solution à plus long terme est de donner aux agents une vraie porte d'entrée. Cloudflare permet aux agents de signer leurs requêtes pour que les sites les reconnaissent, et le standard WebMCP proposé, que Chrome expérimente, permet à un site d'exposer directement ses formulaires et ses fonctions aux agents. Expedia, Booking.com, Shopify, Etsy, Instacart et Target figurent parmi les marques impliquées dans le test initial de Chrome.

En attendant que cela se généralise, attendez-vous à ce que les agents butent sur les sites qui changent de mise en page ou qui les bloquent. Si vous avez besoin d'une automatisation fiable sur un ensemble fixe de sites, un outil à scripts du classement Navigation et automatisation web ou un framework open source comme Browser Use est souvent mieux adapté, et notre article sur les agents IA face aux outils d'automatisation détaille ce compromis.

L'injection de prompt, le problème que personne n'a résolu

Un agent lit des pages web pour faire son travail, et un modèle de langage n'est pas capable de séparer de façon fiable le texte qu'il lit des instructions qu'il suit. Quiconque peut placer des mots sous les yeux de votre agent peut donc tenter de lui donner des ordres : l'auteur d'une page web, un avis produit, un commentaire de forum ou un e-mail dans votre boîte de réception.

La rangée du bas est ce qui rend la menace sérieuse. L'agent travaille dans vos sessions connectées : un agent détourné agit donc comme vous dans votre messagerie, votre banque ou vos applications d'entreprise. Les chercheurs de Brave ont fait suivre à Comet des instructions cachées sous forme de texte bleu clair très pâle sur fond jaune dans une capture d'écran, et ont montré qu'un autre navigateur IA, Fellou, envoyait le texte d'une page à son modèle du simple fait de la visiter, laissant des instructions visibles sur la page prendre le pas sur la demande de l'utilisateur. Brave a qualifié l'injection de prompt indirecte de « défi systémique pour toute la catégorie des navigateurs dopés à l'IA » (Brave).

D'autres équipes sont arrivées au même constat. Trail of Bits a audité Comet avant son lancement et construit quatre exploits fonctionnels, dont un déguisé en faux CAPTCHA, tous visant à copier le Gmail de l'utilisateur vers le serveur d'un attaquant. OpenAI a décrit une attaque où un texte caché dans un e-mail poussait son agent à envoyer un message de démission au lieu de rédiger une réponse d'absence.

Les éditeurs affirment que leurs défenses fonctionnent, et Anthropic a publié des chiffres avant et après issus de ses propres tests.

Ce sont des tests d'Anthropic sur des attaques choisies par Anthropic. Avec toutes les protections activées, l'entreprise ne rapporte aucune attaque réussie sur trois de ses modèles les plus récents et 0,3 % sur un quatrième, et elle parle encore de l'injection de prompt comme d'une « cible mouvante ». Les résultats indépendants sont moins bons, même s'ils portent sur d'autres agents, open source. Des chercheurs de NTU, ST Engineering, IBM Research et UIUC ont mené 3 168 tentatives d'attaque contre Browser Use et NanoBrowser, équipés de modèles GPT-5 et Gemini. Les injections indirectes ont réussi dans 41,67 % à 68,16 % des cas, et aucune configuration testée n'était exempte d'échecs (CSO Online). Lasso Security a contourné le détecteur d'injection open source de Perplexity, BrowseSafe, dans 36 % des tentatives, avec des astuces aussi simples qu'un encodage en Base32.

Les entreprises qui construisent ces agents sont franches sur le plafond. OpenAI a écrit que l'injection de prompt, comme les arnaques et l'ingénierie sociale, ne sera « probablement jamais totalement “résolue” », et le National Cyber Security Centre britannique a indiqué qu'elle ne pourrait peut-être jamais être entièrement maîtrisée (TechCrunch). Gartner est allé plus loin l'an dernier en disant à ses clients que les RSSI doivent bloquer tous les navigateurs IA dans un avenir prévisible.

Les éditeurs empilent donc plutôt des couches de protection. Google fait tourner un second modèle, le User Alignment Critic, qui ne voit qu'une description de chaque action prévue et jamais la page brute, et peut mettre son veto aux actions qui ne correspondent pas à votre objectif. Chrome limite aussi les sites que l'agent peut lire ou dans lesquels il peut saisir du texte pour une tâche donnée, et demande confirmation avant d'aller sur des sites bancaires ou médicaux (Google). Microsoft bloque les sites à haut risque et tient son agent à l'écart des mots de passe enregistrés et des données de paiement. Anthropic analyse le contenu des pages à la recherche d'attaques et vérifie chaque action par rapport à votre demande, et Brave isole son agent dans un profil séparé. Personne ne promet zéro risque.

Amazon contre Perplexity : qui est responsable des clics de l'agent

Le combat juridique autour des achats agentiques oppose Amazon à Perplexity, et il n'est pas terminé. Voici où il en est.

Amazon a porté plainte l'an dernier, soutenant que Comet accédait aux comptes clients sans autorisation et se faisait passer pour un navigateur Chrome ordinaire après qu'Amazon a tenté de le bloquer. Un juge de district lui a donné raison plus tôt cette année et a interdit à Comet l'accès aux comptes Amazon protégés par mot de passe. La Ninth Circuit a ensuite annulé cette ordonnance. Elle a estimé que l'agent est « un outil, pas une personne » au sens de la loi, que c'est donc l'acheteur qui le dirige qui accède à Amazon, et qu'Amazon avait peu de chances de l'emporter au titre des lois anti-piratage qu'elle invoquait (Technology & Marketing Law Blog). La cour d'appel a ensuite refusé de réexaminer l'affaire.

Amazon a depuis déposé une plainte modifiée alléguant que l'application iPhone de Comet copiait les cookies de session Amazon des clients vers les serveurs cloud de Perplexity, de sorte qu'« aucun appareil d'utilisateur ne touche les serveurs d'Amazon », alors que Perplexity a affirmé l'inverse devant la cour d'appel. Le dossier cite aussi un courrier de l'avocat de Perplexity indiquant que, « par bonne foi », Perplexity avait temporairement désactivé la fonction d'assistant sur Amazon.com dans Comet pour iOS (The Next Web). Ce sont des allégations d'Amazon. Perplexity présente le litige comme une question de liberté pour les acheteurs d'utiliser les logiciels de leur choix sur des sites où ils ont le droit d'aller.

Pour les utilisateurs, la décision joue dans les deux sens. Elle vous traite comme la partie qui accède au site, ce qui signifie que les conditions du site vous lient toujours, et la cour a noté qu'Amazon peut faire appliquer ses conditions à ses propres clients. L'avis est aussi limité à ces faits : il ne donne pas un feu vert général aux agents. Si les achats agentiques vous intéressent, beaucoup d'outils de notre classement des assistants d'achat IA sont conçus pour être déployés par les boutiques elles-mêmes, ce qui évite la question.

Une configuration sûre applicable dès aujourd'hui

Rien de tout cela ne signifie qu'il faut fuir les navigateurs IA. Cela signifie qu'il faut en configurer un comme le ferait une équipe de sécurité, avant la première tâche.

1. 1Donnez à l'agent son propre profil de navigateur. Brave l'intègre nativement. Dans Chrome, Edge ou Comet, créez un profil séparé avec uniquement les connexions dont l'agent a besoin, et gardez-y votre banque, votre messagerie principale et votre gestionnaire de mots de passe hors de portée.
2. 2Commencez déconnecté. Le conseil d'OpenAI pour son propre agent était d'utiliser le mode déconnecté chaque fois que c'est possible. Ne vous connectez que lorsqu'une tâche l'exige.
3. 3Gardez les approbations activées. Dans Claude in Chrome, réactivez l'approbation manuelle pour tout ce qui dépasse la lecture, et lisez chaque confirmation avant de cliquer.
4. 4Rédigez des tâches précises. OpenAI a mis en garde contre le fait de dire à l'agent de faire « ce qu'il faut ». Nommez le site, l'objectif et l'endroit où il doit s'arrêter.
5. 5Tenez-le à l'écart de l'argent, des actions déclenchées par la boîte de réception et des consoles d'administration. Lors de son lancement pilote, Anthropic a demandé à ses testeurs d'éviter les sites contenant des informations financières, juridiques, médicales ou autrement sensibles.
6. 6Surveillez les premières exécutions de bout en bout, puis faites le ménage. Edge conserve les captures d'écran de l'agent avec votre conversation jusqu'à 30 jours : supprimez donc cet historique après les tâches privées.

La version courte tient sur une carte.

La colonne de droite liste les raccourcis que l'on prend après quelques exécutions réussies. Toutes les attaques publiées plus haut reposaient sur un agent connecté à quelque chose qui valait la peine d'être volé : la règle du profil fait donc l'essentiel du travail.

Pour une tâche précise, utilisez l'outil de vérification ci-dessous. Il pose six questions, et une seule réponse à haut risque suffit pour que cette étape reste entre vos mains.

La plupart des tâches de recherche et de comparaison ressortent en vert ou en orange. Tout ce qui paie, envoie ou lit votre boîte de réception en étant connecté à des comptes professionnels ressort en rouge, et c'est voulu : laissez l'agent collecter et rédiger, puis faites vous-même le clic final.

Quel navigateur choisir, et une règle pour les équipes

Pour les particuliers, le choix suit surtout ce que vous payez déjà. Si vous voulez seulement des réponses, ne payez pas pour un agent : Gemini dans Chrome et Copilot dans Edge résument les pages et comparent les onglets dans leurs offres gratuites. Si vous voulez un agent, Google AI Pro et Microsoft 365 Premium coûtent tous deux 19,99 $ par mois et en placent chacun un dans un navigateur que vous utilisez probablement déjà. Comet permet d'essayer un agent sans abonnement, à condition de lui donner son propre profil. L'arbre de décision ci-dessous couvre les cas courants.

L'une de ces réponses mérite une mise en garde. Les approbations automatiques de Claude in Chrome sont pratiques pour la recherche, mais constituent un mauvais réglage par défaut dès qu'il est question d'argent ou de messagerie.

Pour les équipes, la règle est plus simple que le marché : la lecture est autorisée partout, les actions d'agent ne s'exécutent que dans une édition gérée, et uniquement sur des sites que vous avez validés. Les contrôles existent. L'auto browse de Chrome est désactivé par défaut pour les utilisateurs Workspace gérés, et les administrateurs peuvent l'activer avec des politiques qui autorisent ou bloquent des URL précises (Chrome Enterprise Help). Edge for Business propose un aperçu limité, sous licence Microsoft 365 Copilot, où le service informatique choisit les sites sur lesquels Copilot peut agir et où les règles de données Purview continuent de s'appliquer. Il n'est pas proposé dans l'EEE. Comet Enterprise peut limiter l'assistant à la lecture seule ou à des domaines approuvés, et le forfait Enterprise de Claude permet aux administrateurs de restreindre Claude in Chrome à des domaines approuvés.

Cette dernière phrase est une version plus étroite du conseil de Gartner, avec laquelle la plupart des équipes peuvent vivre. Revoyez la liste blanche chaque fois qu'un éditeur change ses réglages par défaut, ce qui, en 2026, est arrivé tous les quelques mois. Pour les enseignements d'équipes qui font tourner des agents au travail, lisez les agents IA en production, et le classement Top 250 AI Agents suit l'ensemble du secteur.

Questions fréquentes

ChatGPT Atlas est-il toujours disponible ?

Non. OpenAI a fermé Atlas cette année, moins d'un an après son lancement sur Mac. Si vous l'utilisiez, l'agent se trouve maintenant dans l'application de bureau ChatGPT pour Mac et Windows, et une extension ChatGPT permet de poser des questions sur une page dans Chrome.

Perplexity Comet est-il gratuit ?

Oui, avec des limites d'usage. Perplexity a rendu Comet gratuit au téléchargement l'an dernier, et il fonctionne maintenant sur Windows, Mac, Android et iOS. Le Background Assistant, qui exécute plusieurs tâches en parallèle pendant que vous faites autre chose, a été lancé comme fonction du forfait Max, le plus haut de gamme.

Un navigateur IA peut-il acheter quelque chose sans me demander ?

Les principaux sont conçus pour demander d'abord. Chrome et Edge s'interrompent avant les achats, et l'agent d'Edge ne peut pas du tout utiliser les moyens de paiement enregistrés. Claude in Chrome approuve sans demander les actions que son classificateur juge sûres : activez donc l'approbation manuelle si vous voulez une confirmation avant chaque étape.

Est-il légal de laisser un agent IA faire des achats sur Amazon à ma place ?

La Ninth Circuit a estimé qu'Amazon avait peu de chances de gagner ses recours fédéral et californien contre le piratage face à Perplexity, parce que l'utilisateur qui dirige l'agent est celui qui accède au site. Cela ne prime pas sur les Conditions d'utilisation d'Amazon, qui d'après Amazon interdisent les agents non autorisés, et le procès est toujours ouvert. Lorsque les conditions d'un site interdisent les agents, en utiliser un est un risque contractuel qui retombe sur vous.

Mon entreprise doit-elle bloquer les navigateurs IA ?

Bloquez ceux qui ne sont pas gérés sur les appareils de l'entreprise. Autorisez ensuite les éditions gérées (Chrome avec les politiques Workspace, Edge for Business, Comet Enterprise ou le forfait Enterprise de Claude) pour la lecture, et approuvez les actions d'agent site par site.

Les navigateurs IA voient-ils mes mots de passe ?

Les éditeurs affirment que le modèle n'y a pas accès. Google indique que ses modèles ne sont pas exposés au gestionnaire de mots de passe ni aux données de cartes enregistrées, et Browse with Copilot de Microsoft ne peut pas accéder aux mots de passe enregistrés, au remplissage automatique ni aux données de portefeuille. L'agent agit toutefois dans vos sessions connectées, c'est pourquoi un profil séparé compte plus que l'endroit où vos mots de passe sont stockés.