L’essentiel
- Claude a désormais son propre navigateur intégré à Cowork, dans l’application de bureau : il s’ouvre dans un panneau latéral, navigue, lit les pages, clique et remplit les formulaires, sans rien à installer.
- Ce navigateur est séparé du vôtre : ni vos onglets, ni vos favoris, ni vos mots de passe. Vos identifiants n’y arrivent que si vous les transférez site par site, banque, messagerie et authentification unique exclues par défaut.
- Le même jour, Claude in Chrome est passé en disponibilité générale sur tous les plans payants, avec une nouveauté : l’agent approuve lui-même les actions qu’il juge sûres au lieu de vous les soumettre une par une.
- Déploiement au cours de la semaine sur les plans Pro, Max et Team (macOS, Windows, Linux en bêta), actif par défaut ; déjà disponible en Enterprise, où les administrateurs peuvent le couper.
Anthropic a livré deux fonctionnalités le même jour. Claude dispose maintenant de son propre navigateur dans Cowork, intégré à l’application de bureau : il s’ouvre dans un panneau latéral, sans extension ni installation. Et Claude in Chrome, jusqu’ici réservé à un programme pilote, s’ouvre à tous les plans payants, avec une modification glissée en fin d’annonce : l’agent approuve lui-même les actions qu’il juge sûres, au lieu de vous les soumettre une par une.
Le clic de validation sort du circuit
Dans Chrome, Claude agit donc de façon autonome. Un classifieur de sécurité, un modèle entraîné à trier les gestes sûrs des autres, contrôle chaque action avant son exécution et vérifie qu’elle correspond bien à votre demande. Le garde-fou humain, celui qui consistait à valider chaque clic de l’agent, disparaît.
Le retirer change la nature du problème. Tant que vous validiez action par action, une prompt injection (ces instructions malveillantes glissées dans une page web, un e-mail ou un champ de formulaire pour détourner l’agent) butait sur vous. Sans cette étape, il faut autre chose. Anthropic superpose deux réponses : durcir le modèle, et réduire ce qu’il peut atteindre.
Le durcissement est documenté. D’un côté, une bibliothèque d’attaques alimentée par des attaquants automatisés internes, par des red-teamers externes (des spécialistes payés pour attaquer le système) et par la surveillance en production. De l’autre, des sondes entraînées à inspecter le contenu web renvoyé par les outils avant que le modèle n’agisse dessus, livrées avec Claude Opus 4.5 puis élargies à d’autres familles d’attaques. Le progrès affiché depuis novembre 2025 est réel, mais énoncé en relatif : « substantiellement » plus résistant. Aucun taux.
Les concurrents gardent ce point d’arrêt : dans ChatGPT Atlas, l’agent d’OpenAI bascule en mode surveillé sur les sites sensibles, banques en tête, et s’interrompt si vous quittez l’onglet, tandis que l’Auto Browse de Chrome réclame votre accord avant un achat ou une publication. Anthropic déplace ce point d’arrêt à l’intérieur du modèle.
Un navigateur vierge, jusqu’au premier transfert de session
Le navigateur de Cowork est celui de Claude, pas le vôtre. Il ne voit ni vos onglets, ni vos favoris, ni vos mots de passe. Pour les usages décrits par Anthropic, rassembler de la documentation pour un rapport ou récupérer les factures du mois dans un portail fournisseur, cette séparation suffit largement.
Il comporte une porte, et l’éditeur l’indique sans détour : vous pouvez transférer vos sessions site par site, depuis Chrome, Edge ou Firefox sur macOS, depuis Firefox seulement sur Windows et Linux. Chaque identifiant transféré élargit d’un cran le rayon d’action de l’agent. Un bac à sable qui héberge la session de votre CRM, l’outil de gestion de la relation client, n’isole plus votre CRM : il isole votre poste de travail. La frontière de sécurité se trace alors chez vous, un site à la fois.
La banque et la messagerie restent hors du périmètre
Banque, messagerie et authentification unique, ce SSO qui ouvre d’un coup tous les outils d’une entreprise, sont écartées du transfert de sessions, sauf décision explicite de votre part. Anthropic écrit par ailleurs que ses mesures réduisent le risque de façon significative sans l’éliminer, et recommande de commencer par des sites de confiance.
Lue de près, cette phrase dit que l’objectif du modèle de sécurité a changé. On ne promet plus d’empêcher l’attaque : on organise ce qu’elle pourra toucher le jour où elle passera. L’admettre dans une annonce produit est inhabituel, et c’est pourtant la seule position défendable pour un agent qui clique dans un navigateur à notre place.
Ceux qui ont installé l’extension tôt restent les plus exposés
Si vous utilisez déjà Claude in Chrome, l’extension continue de fonctionner et reste votre navigateur par défaut ; le navigateur intégré ne prend la main que chez les autres. La configuration la plus exposée, celle qui tourne dans votre session avec l’ensemble de vos comptes ouverts, demeure donc en place chez les utilisateurs les plus anciens. Le réglage se change dans les paramètres, section Cowork, option navigateur préféré.
Le reste relève de l’hygiène de déploiement. Le navigateur intégré arrive au cours de la semaine sur les plans Pro, Max et Team dans l’application de bureau, sous macOS, Windows et Linux en bêta, et il est actif par défaut dès qu’il vous atteint. En Enterprise, il est déjà disponible et les administrateurs le pilotent dans les réglages de l’organisation. Une entreprise qui veut trancher a intérêt à le faire avant l’arrivée de la fonctionnalité plutôt qu’après.
Dernière contrainte, structurante pour qui automatise : ce navigateur vit dans l’application de bureau. Vous pouvez le piloter depuis le web ou votre téléphone, à condition que l’application reste ouverte et connectée. L’agent de navigation d’Anthropic reste attaché à une machine allumée, pas à un service distant. Sans application de bureau, il ne vous reste que l’extension Chrome, donc votre propre session.
Il vous reste une liste à tenir : les sites dont vous confiez la session à Claude. C’est aujourd’hui le seul endroit où vous décidez de ce qu’une attaque réussie pourra atteindre. Autant l’écrire à froid, avant que le navigateur ne s’ouvre de lui-même dans le panneau latéral.
Mon avis
L’isolement par défaut va devenir la norme des agents qui naviguent, et les extensions installées dans notre propre session finiront cantonnées aux tâches où l’on regarde l’écran. J’y vois moins une avancée produit qu’un constat d’échec assumé : personne ne sait neutraliser la prompt injection, alors on bâtit des murs autour de l’agent. Et je surveille l’usure de ces murs, parce que chaque identifiant transféré pour gagner deux minutes en retire une brique. Dans six mois, je regarderai d’abord du côté des bacs à sable que nous aurons patiemment remplis de nos propres comptes, avant de chercher une faille du classifieur.
