Évolution des navigateurs

L’évolution des navigateurs – depuis les premiers jours du modem commuté avec Netscape et Internet Explorer, jusqu’à l’essor de puissants appareils comme les Chromebooks, et maintenant à l’ère de la GenAI où les navigateurs sont au centre – démontre à quel point les navigateurs ont progressé parallèlement au web mondial. Aujourd’hui, à l’ère de l’IA générative, les navigateurs font plus qu’afficher des pages web; ils servent de plateformes pour la créativité, la productivité d’entreprise et la connexion à travers le globe. Cela place les navigateurs au centre de l’entreprise avec l’arrivée de la GenAI. Le navigateur d’entreprise ne sert plus seulement à lire du contenu, mais devient un outil pour générer du contenu à l’aide d’outils GenAI et constitue un risque de sécurité lorsque les utilisateurs peuvent saisir des données d’entreprise sciemment ou non.

Chez HCLTech, nous protégeons les actifs d’entreprise depuis le début, et récemment, les navigateurs sont devenus une préoccupation majeure pour nos clients. Nous avons observé des situations où des utilisateurs emploient divers outils GenAI pour effectuer leurs tâches, installent des extensions qui semblent utiles mais sont risquées, et la sécurité n’a aucune visibilité sur ce qui se passe dans le navigateur. Cela conduit à une perte de données d’entreprise et à de plus grandes complications par la suite. L’introduction de copilotes IA intégrés directement dans les navigateurs – comme Microsoft Copilot dans Edge, Gemini de Google dans Chrome et de nombreux modules tiers – a considérablement modifié la façon de penser la sécurité.

Navigateur d’entreprise – Une frontière de gouvernance

Un navigateur n’est pas simplement une application d’entreprise, mais doit être traité comme une frontière de gouvernance. Les entreprises doivent aller au-delà de l’approche zéro confiance qui consiste à vérifier chaque utilisateur et chaque appareil, pour vérifier chaque navigateur dans un monde IA sans périmètre. Techniquement, cela signifie instrumenter la couche navigateur pour appliquer la politique de sécurité IA de l’entreprise, inspecter les flux de données contextuels et consigner les actions en temps réel. Des solutions comme Island Enterprise Browser, Talon (acquis par Palo Alto Networks) et Microsoft Edge for Business sont les premières preuves de ce changement d’architecture. Elles permettent aux entreprises de définir ce qu’un utilisateur peut faire dans une session de navigateur — et pas seulement les URL qu’il peut visiter.

Les capacités natives des navigateurs incluent maintenant : restrictions sur le copier-coller, prévention des captures d’écran, blocage du téléversement vers des destinations IA non sanctionnées et filigrane de session pouvant être appliqué quel que soit l’état de l’appareil.

Il s’agit là de la sécurité des navigateurs à confiance zéro en pratique : vérifier le contexte, appliquer la politique, tout consigner.

Une gouvernance efficace de la navigation IA d’entreprise exige une architecture de politique structurée. Les organisations doivent définir trois niveaux d’interaction avec l’IA :

• Permis : Outils IA approuvés avec des ententes de gestion de données d’entreprise et des garanties contractuelles de prévention de fuite de données (DLP)
• Conditionnel : Outils autorisés selon des règles de restriction de contenu — aucun téléversement de renseignements personnels (PII), de propriété intellectuelle (PI), ou de données réglementées
• Interdit : Plateformes IA grand public sans contrôles de données d’entreprise ni capacités d’audit

Ces niveaux doivent s’intégrer directement aux cadres de prévention de perte de données (DLP) déjà en place — et c’est là où la plupart des entreprises échouent actuellement. Les DLP traditionnels ont été conçus autour de flux de données structurés : pièces jointes par courriel, téléversements de fichiers, requêtes de bases de données. Lorsqu’un employé saisit une clause de contrat client dans un champ de discussion IA, cela ne déclenche aucune règle DLP conventionnelle. Il n’y a ni fichier, ni pièce jointe, ni signature détectable d’exfiltration.

Seul un moteur DLP conscient du navigateur, capable d’inspecter les champs de saisie de requêtes IA en temps réel, peut combler cette lacune. C’est une exigence technique fondamentale pour toute entreprise déterminée à prévenir la perte de données IA dans les années à venir.

Modèles d’exécution des agents de contrôle

Pour les entreprises adoptant des flux de travail IA agentique, la gouvernance doit aller au-delà de l’inspection de contenu jusqu’au contrôle d’exécution. Un modèle d’exécution à liste blanche définit quels agents IA sont autorisés à agir de façon autonome, sur quels systèmes, dans quelles conditions de données.

Il s’agit en fait d’un modèle d’accès privilégié pour les acteurs non humains — la prolongation naturelle des principes zéro confiance dans la couche IA. De même que la confiance zéro exige que les utilisateurs humains prouvent leur identité et leur contexte avant l’accès à des ressources, les agents IA doivent fonctionner dans des périmètres déclarés, audités et révocables.

Par exemple, dans une situation réelle, un agent financier peut être autorisé à lire des tableaux de bord des comptes fournisseurs, mais doit exiger une approbation humaine (HITL) avant d’initier toute action de paiement. Ce n’est pas une limitation de la capacité de l’IA — c’est la condition de gouvernance permettant aux entreprises de faire évoluer cette capacité de façon responsable et durable.

Cela dit, sécuriser le navigateur d’entreprise à l’ère de la GenAI ne nous dispense pas de la responsabilité de s’appuyer sur des éléments fondamentaux de sécurité, tels que la DLP, le verrouillage des navigateurs d’entreprise comme Chrome et Edge à l’aide d’outils de gestion traditionnels des postes, et le contrôle des accès aux données des utilisateurs. La stratégie doit aussi tenir compte des efforts nécessaires pour adopter de nouveaux modes de travail – qu’il s’agisse de déployer un nouveau navigateur d’entreprise nécessitant un temps d’apprentissage prolongé, ou de verrouiller les navigateurs existants et d’imposer des extensions permettant la visibilité sur ce qui se passe dans le navigateur.

La stratégie pour les navigateurs d’entreprise doit prendre en compte ces grands facteurs lors de la sécurisation de leurs navigateurs :

• Flexibilité – La solution permet-elle de contrôler seulement un navigateur précis ou uniquement une extension ?
• État de l’appareil – Prend-elle en charge uniquement les appareils d’entreprise déjà gérés, ou également les appareils personnels “BYOD” — tels que les contractuels, télétravailleurs ?
• Gestion des accès privilégiés/mots de passe – Fonction de session injectée et partage sécurisé d’identifiants
• Audit et journalisation – Défendabilité réglementaire et création de référence comportementale pour la détection d’anomalies.

Auditabilité, journalisation et la productivité

Les entreprises doivent aussi comprendre que ces nouvelles solutions ne devraient pas créer de friction ni diminuer la productivité réelle des employés. La conclusion la plus raisonnable face aux menaces actuelles n’est pas que les employés sont imprudents ou que l’IA est intrinsèquement risquée. C’est plutôt que les entreprises n’ont pas encore érigé une infrastructure de gouvernance à la hauteur du pouvoir octroyé à leur personnel par le biais du navigateur.

Chez HCLTech, nous croyons que le moment de l’adoption responsable, c’est maintenant. À mesure que les capacités d’IA agentique passent de la commodité à des processus d’affaires centraux, le coût de réadapter la gouvernance augmentera de façon exponentielle. Les organisations qui traitent le navigateur comme leur plan de contrôle dès aujourd’hui — en définissant une politique, en appliquant la DLP, en mettant les agents sur liste blanche et en bâtissant la chaîne d’audit — réduiront non seulement les risques. Mais ce seront celles capables d’adopter l’IA avec confiance, rapidité et confiance de la direction.

Le navigateur n’est plus seulement là où le travail se fait. C’est là où l’IA gouverne le travail. Les entreprises qui le reconnaissent en premier établiront la nouvelle norme pour tous les autres.