Évolution des navigateurs

L’évolution des navigateurs — des premiers jours de connexion commutée avec Netscape et Internet Explorer, à la montée en puissance des appareils comme les Chromebooks et maintenant à l’ère GenAI où les navigateurs sont centraux — démontre à quel point ils ont progressé parallèlement au web. Aujourd’hui, à l’ère de l’IA générative, les navigateurs ne se contentent plus d’afficher des pages web — ils servent de plateformes pour la créativité, la productivité en entreprise et la connexion à l’échelle mondiale. Cela place les navigateurs au centre de l’entreprise avec l’avènement de GenAI. Le navigateur d’entreprise n’est plus seulement utilisé pour lire du contenu, mais devient un outil pour générer du contenu grâce à des outils GenAI, tout en représentant un risque de sécurité lorsque les utilisateurs peuvent saisir des données d’entreprise, de façon consciente ou non.

Chez HCLTech, nous sécurisons les actifs d’entreprise depuis toujours et les navigateurs sont récemment devenus une source majeure de préoccupations pour nos clients. Nous avons observé des cas où les utilisateurs recourent à des outils GenAI aléatoires pour accomplir leurs tâches, installent des extensions qui semblent utiles mais sont risquées, et où la sécurité n’a aucune visibilité sur ce qui se passe à l’intérieur du navigateur. Cela mène à la perte de données de l’entreprise et à des problèmes plus importants par la suite. L’intégration de copilotes AI directement dans les navigateurs — comme Microsoft Copilot dans Edge, Gemini de Google dans Chrome et de nombreux modules complémentaires tiers — a considérablement changé la façon dont la sécurité est abordée.

Navigateur d’entreprise – Une frontière de gouvernance

Un navigateur n’est pas seulement une application d’entreprise, il doit être traité comme une frontière de gouvernance. Les entreprises doivent dépasser l’approche Zero Trust consistant à vérifier chaque utilisateur et chaque appareil, pour valider chaque navigateur dans un monde AI sans périmètre. Techniquement, cela veut dire contrôler la couche navigateur pour appliquer la politique de sécurité AI d’entreprise, inspecter les flux de données contextuels et consigner en temps réel les actions. Des solutions telles que Island Enterprise Browser, Talon (acquis par Palo Alto Networks) et Microsoft Edge pour les entreprises constituent de premières preuves de ce virage architectural. Elles permettent aux entreprises de définir ce qu’un utilisateur peut faire au sein d’une session de navigateur — et pas seulement les URLs qu’ils peuvent visiter.

Les fonctionnalités natives des navigateurs incluent désormais : restrictions de copier-coller, prévention des captures d’écran, blocage des téléchargements vers des destinations AI non autorisées, et filigranage des sessions pouvant être imposés peu importe la posture de l’appareil.

Voilà à quoi ressemble la sécurité Zero Trust appliquée au navigateur : vérifier le contexte, appliquer la politique, tout consigner.

Une gouvernance efficace de la navigation AI en entreprise requiert une architecture de politiques structurée. Les organisations doivent définir trois niveaux d’interaction avec l’IA :

• Permis : Outils AI autorisés assortis d’accords de gestion des données d’entreprise et de garanties contractuelles DLP
• Conditionnel : Outils acceptés selon les règles de restriction du contenu — aucun upload de PI, PI ou de données réglementées
• Interdit : Plateformes AI grand public sans contrôle ou capacité d’audit des données d’entreprise

Ces niveaux doivent s’intégrer directement aux cadres existants de Data Loss Prevention (DLP) — et c’est là que la plupart des entreprises échouent actuellement. Les DLP traditionnels sont conçus pour des flux de données structurés : pièces jointes dans les courriels, téléchargements de fichiers, requêtes de bases de données. Un employé qui tape une clause de contrat client dans un prompt de chat AI ne déclenchera aucune règle DLP conventionnelle. Il n’y a ni fichier, ni pièce jointe, ni signature d’exfiltration détectable.

Seul un moteur DLP conscient du navigateur, capable d’inspecter les champs d’entrée des prompts AI en temps réel, peut combler cette lacune. Il s’agit du principal besoin technique pour toute entreprise qui souhaite prévenir la fuite de données AI dans les années à venir.

Modèles d’exécution d’agents de contrôle

Pour les entreprises adoptant des flux de travail agentic AI, la gouvernance doit dépasser l’inspection de contenu pour inclure le contrôle de l’exécution. Un modèle d’exécution d’agents en liste blanche définit quels agents AI sont autorisés à agir de façon autonome, sur quels systèmes, et dans quelles conditions de données.

Il s’agit en fait d’un modèle d’accès privilégié pour les acteurs non humains — l’extension naturelle des principes de Zero Trust à la couche AI. Tout comme Zero Trust exige que les utilisateurs humains prouvent leur identité et leur contexte avant d’accéder à des ressources, les agents AI doivent fonctionner dans des périmètres déclarés, auditables et révocables.

Par exemple, dans un scénario réel — un agent financier pourrait avoir la permission de consulter des tableaux de bord des comptes fournisseurs mais devra exiger une approbation HITL (human-in-the-loop) avant de lancer un paiement. Ce n’est pas une limite à la capacité de l’AI — il s’agit de la condition de gouvernance sous laquelle l’entreprise peut élargir ce pouvoir de façon responsable et durable.

Cela étant dit, sécuriser le navigateur d’entreprise à l’ère GenAI ne nous dégage pas de la responsabilité d’appliquer les éléments fondamentaux de sécurité comme le DLP, le verrouillage des navigateurs d’entreprise tels que Chrome et Edge grâce aux outils traditionnels de gestion des postes, et la limitation de l’accès des utilisateurs aux données. Il faut également évaluer les efforts nécessaires pour évoluer vers ces nouvelles pratiques : déployer un nouveau navigateur d’entreprise — impliquant une courbe d’apprentissage plus longue — ou utiliser les navigateurs existants, les verrouiller et déployer des extensions offrant une visibilité sur ce qui se passe dans le navigateur.

La stratégie pour le navigateur d’entreprise devrait prendre en compte ces grands facteurs lors de la sécurisation de ses navigateurs :

• Flexibilité – La solution vous permet-elle de contrôler un seul navigateur ou seulement une extension ?
• Posture du dispositif – Est-elle compatible seulement avec les appareils corporatifs gérés existants ou également avec les appareils BYOD non gérés ? Pensez aux contractuels, travailleurs à distance.
• Gestion des accès privilégiés/mots de passe - injection de session et partage sécurisé des identifiants
• Audit et journalisation - Capacité de défense réglementaire et création d’une base comportementale pour la détection d’anomalies.

Auditabilité, journalisation et équation de la productivité

Les entreprises doivent également savoir que ces nouvelles solutions ne doivent pas créer de friction ni réduire la productivité réelle des employés. La conclusion la plus raisonnable à tirer du paysage actuel des menaces n’est pas que les employés sont imprudents ou que l’AI est intrinsèquement dangereuse. C’est plutôt que les entreprises n’ont pas encore construit l’infrastructure de gouvernance proportionnelle au pouvoir dont elles ont doté leurs employés par le navigateur.

La conviction de HCLTech est que le moment de l’adoption responsable, c’est maintenant. À mesure que les capacités d’agentic AI évoluent de fonctions pratiques vers des processus d’affaires essentiels, le coût d’ajouter la gouvernance après coup augmentera exponentiellement. Les organisations qui traitent le navigateur comme leur plateforme de contrôle aujourd’hui — en définissant la politique, en appliquant le DLP, en créant une liste blanche d’agents et en bâtissant des pistes d’audit — ne feront pas que réduire les risques. Elles seront celles qui pourront adopter l’AI à grande échelle avec confiance, rapidité et l’aval de leur conseil d’administration.

Le navigateur n’est plus seulement le lieu du travail. C’est l’endroit où l’AI gouverne le travail. Les entreprises qui saisissent cela en premier définiront la norme pour toutes les autres.