L’essentiel
- Le panneau latéral de Claude dans Chrome devient une session Claude Cowork : les conversations sont enregistrées dans l’historique, les skills et les connecteurs fonctionnent dans le navigateur.
- Les sessions sont rattachées au compte et non à un appareil : une tâche lancée dans un onglet se termine sur l’application de bureau, le web ou le mobile.
- Disponible sur les offres Max et Team, déploiement vers Pro dans les semaines qui viennent ; en Enterprise, l’extension est désactivée par défaut et les administrateurs la limitent à des domaines approuvés.
- Anthropic ajoute un contrôle qui relit les actions de Claude avant les gestes conséquents, tout en écrivant que l’injection de prompt reste un risque non éliminé.
Anthropic vient de retirer une frontière discrète : celle qui séparait Claude dans Chrome du reste de ses applications. Le panneau latéral de l’extension n’ouvre plus une conversation isolée, il ouvre une session Claude Cowork, la même que sur le bureau, le web et le mobile. Une tâche commencée dans un onglet peut donc se terminer ailleurs.
La session quitte l’appareil pour le compte
Jusqu’ici, le panneau latéral était un cul-de-sac : ni le contexte ni les conversations ne circulaient entre lui et les applications Claude. Désormais l’historique est conservé, vos connecteurs et vos skills (ces procédures enregistrées que Claude rejoue à la demande) fonctionnent dans le navigateur, et un travail en plusieurs étapes entamé dans un onglet se poursuit ailleurs.
L’exemple mis en avant par l’éditeur tient en une scène de bureau : vous demandez à Claude de récupérer les montants et les dates de factures dispersées sur plusieurs portails fournisseurs, il ouvre les onglets, lit chaque document, construit le tableau. Vous reprenez ensuite la même session dans l’application de bureau pour y verser des fichiers de votre disque, ou importer le budget du mois précédent et demander ce qui a bougé.
Le déplacement paraît minuscule à l’usage. Il change pourtant l’unité de base du produit : ce qui porte le travail devient la session, et une session rattachée au compte suit son utilisateur partout où Anthropic pose une surface.
Sans API, l’agent passe par l’écran
Anthropic nomme sa cible sans détour : les tableaux de bord internes, les systèmes vieillissants, les portails fournisseurs, tout ce qui n’expose pas d’API (l’interface technique par laquelle deux logiciels échangent des données sans passer par un écran). Dans ces applications, l’extension travaille à travers le navigateur, avec les sessions déjà ouvertes et les identifiants déjà validés par l’utilisateur. Elle voit la page, clique, saisit du texte, navigue, remplit les formulaires.
Le coup est élégant, parce qu’il contourne le chantier qui bloque toute automatisation en entreprise : l’intégration. Pas d’API à réclamer, pas de connecteur à faire financer, pas d’éditeur de portail à convaincre. Le navigateur devient le connecteur universel de dernier recours, et la couche que personne ne contrôle vraiment devient la porte d’entrée vers les données métier.
La position reste incomplète, et Anthropic ne le cache pas : l’extension ne tourne ni sur les autres navigateurs Chromium ni sur mobile, et l’application de bureau reste nécessaire pour toucher aux fichiers locaux ou aux autres logiciels. Une case prise, pas l’échiquier.
L’injection cachée voyage avec la session
Le compte officiel de Claude a publié l’avertissement en même temps que la fonctionnalité : « les agents de navigateur peuvent être trompés par des instructions cachées dans une page », des défenses sont en construction, et quelques précautions d’usage restent recommandées. L’injection de prompt, en clair : des consignes dissimulées dans une page, un mail ou un document, invisibles pour vous, lues par l’agent comme si elles venaient de vous.
Depuis la phase pilote, Anthropic a ajouté un contrôle sur les actions de Claude lui-même. Avec l’approbation automatique, l’agent déroule la tâche sans demander la permission à chaque étape ; mais avant un geste conséquent (soumettre un formulaire, envoyer un message, transférer un fichier), une vérification distincte compare l’action à la demande d’origine et bloque ce qui ne correspond pas. Un achat ou un partage de données personnelles déclenche toujours une demande explicite. L’éditeur écrit noir sur blanc que ces mesures réduisent le risque sans l’éliminer, l’injection étant une cible mouvante.
C’est là que la synchronisation déplace le problème. Jusqu’ici, une session détournée dans un onglet restait cantonnée à cet onglet. La continuité qui fait tout l’intérêt du produit vaut aussi pour un contexte pollué : ce qui a été glissé dans une page se retrouve dans une session qui se prolonge sur les autres surfaces, dont celle qui accède à vos fichiers. Recommander de commencer par des sites de confiance, c’est admettre que la protection s’arrête là où commence la page visitée.
Le secteur en a eu l’illustration début août : la société de sécurité PromptArmor a montré qu’une consigne dissimulée dans un document déposé dans Rovo, l’assistant d’Atlassian, suffisait à faire sortir des tickets Jira et des pages Confluence vers un serveur extérieur, sans qu’un humain valide quoi que ce soit. Le problème n’est résolu chez personne : OpenAI écrit que l’injection de prompt ne sera probablement jamais entièrement réglée pour le mode agent de son navigateur Atlas, et chez Google, l’auto browse de Chrome s’en tient à une pause pour confirmation avant les actions sensibles.
En entreprise, l’extension reste éteinte par défaut
L’ordre de déploiement raconte la prudence : Max et Team aujourd’hui, Pro dans les semaines à venir, et en Enterprise une extension désactivée par défaut, que les administrateurs activent en la restreignant à des domaines approuvés. Cette liste blanche est le détail le plus révélateur de l’annonce : le périmètre de sécurité d’un agent de navigateur tient à un inventaire de domaines, pas aux garde-fous du modèle.
Sur un poste de travail, cela se traduit en gestes très concrets. Gardez l’approbation automatique loin des onglets qui portent une session sensible (paie, production, outil client). Ouvrez les tâches d’extraction sur des portails que vous connaissez, pas sur une page trouvée en chemin. Et souvenez-vous que les conversations sont maintenant enregistrées dans l’historique du compte : ce que Claude a lu dans un onglet ne disparaît plus à la fermeture de cet onglet.
Un inventaire de domaines ne protège toutefois que de ce qu’on a pensé à exclure, et il relève de l’équipe informatique, pas du fournisseur du modèle. Un domaine parfaitement approuvé peut héberger la ligne de texte que personne ne lit.
Mon avis
Le contrôle qui relit les actions de Claude m’intéresse davantage que la synchronisation, parce qu’il acte une chose qu’on évitait de dire : un agent qui agit doit être surveillé par autre chose que l’attention de son utilisateur. Je ne crois pas qu’il tienne longtemps face à une injection bien écrite, pour une raison simple : il compare une action à une demande initiale, et une demande initiale suffisamment vague valide beaucoup de choses. Ce que j’attends, c’est le premier incident public où une session lancée dans un onglet finira par toucher un fichier local, parce que c’est exactement la continuité qu’Anthropic vient de vendre comme un progrès. D’ici là, l’extension mérite d’être utilisée, mais sur des onglets choisis, avec l’approbation automatique éteinte partout où une erreur se paie.
