Comment laisser un agent IA utiliser votre ordinateur en toute sécurité

Quel que soit l'espace que vous choisissez, traitez-le comme un bureau neuf, pas votre bureau habituel. Connectez-vous seulement au compte ou aux deux comptes dont la tâche a réellement besoin, et laissez tout le reste déconnecté. Si la tâche consiste à réserver un seul rendez-vous sur un site de planification, seul ce site a besoin d'une session ; votre e-mail, votre banque et vos outils professionnels n'ont rien à faire dans le même espace juste parce que ce serait pratique de les avoir à portée de main.

Gardez un gestionnaire de mots de passe et tout accès bancaire totalement hors de cet espace, pas simplement déconnectés mais jamais enregistrés là dès le départ. Les recommandations de sécurité d'Anthropic pour le computer use de Claude sont directes à ce sujet : elles déconseillent de donner au modèle accès à des données sensibles comme les identifiants de connexion, précisément pour éviter le vol d'informations. La même logique s'applique quel que soit l'agent que vous utilisez : l'agent ne peut pas divulguer ou mal utiliser un identifiant qui n'a jamais été placé à sa portée.

Cela compte encore plus dès que l'agent a besoin d'être connecté à quoi que ce soit. Les recommandations d'Anthropic sur les prompts notent que l'utilisation du computer use au sein d'applications nécessitant une connexion augmente le risque d'un mauvais résultat lié à une attaque par injection de prompt, et recommandent de revoir comment réduire ce risque avant de transmettre des identifiants de connexion. Un compte jetable et limité pour le seul service dont vous avez réellement besoin est un petit inconvénient face à ce risque.

Un agent computer use ne lit pas seulement vos instructions. Il lit aussi tout ce qui se trouve sur les pages, documents et e-mails qu'il ouvre au fil de la tâche, et une partie de ce contenu peut porter ses propres instructions, destinées à l'agent plutôt qu'à vous. C'est ce qu'on appelle l'injection de prompt : une phrase enfouie dans une page web ou un e-mail qui tente de détourner l'agent pour qu'il fasse quelque chose que vous n'avez jamais demandé, comme visiter un autre site, partager des informations, ou répéter une action non désirée.

La documentation d'Anthropic pour le computer use de Claude le dit clairement : dans certaines circonstances, Claude suit des commandes trouvées dans le contenu même lorsqu'elles entrent en conflit avec les instructions de l'utilisateur, en donnant l'exemple d'instructions sur des pages web ou à l'intérieur d'images qui prennent le pas sur ce que vous avez demandé. Anthropic ajoute qu'elle exécute des classificateurs automatiques pour analyser ce que renvoient les outils de computer use, comme les captures d'écran, afin de repérer d'éventuelles tentatives d'injection, mais précise tout aussi clairement que les précautions consistant à isoler l'agent des données et actions sensibles restent importantes même avec ces classificateurs en fonctionnement.

Ce dernier point est celui qui vaut la peine d'être retenu pour toutes les versions de cette fonctionnalité, pas seulement celle de Claude. Un contrôle de sécurité automatisé est une seconde couche, pas un remplacement de la première : gardez l'agent hors de vos comptes sensibles afin que même une tentative d'injection réussie n'ait quasiment rien à faire une fois à l'intérieur.

Traitez la fin d'une session computer use comme vous traiteriez le premier jour d'une nouvelle recrue : regardez ce qui s'est réellement passé, pas seulement si le résultat final a l'air correct. Demandez à l'agent de lister chaque page visitée, chaque compte touché et chaque champ dans lequel il a tapé, dans l'ordre, et comparez cela à ce que vous attendiez de la tâche.

La documentation d'Anthropic pour Claude note que plusieurs actions peuvent être regroupées en un seul « lot », complétant une séquence à plusieurs étapes en un seul tour, et conseille précisément que si votre application demande à un humain de confirmer des actions importantes, ce contrôle doit avoir lieu avant chaque étape du lot, pas seulement une fois à la fin. La version pratique de ce conseil pour quiconque utilise ces outils directement est la même : n'attendez pas qu'une longue séquence soit entièrement terminée pour commencer à y faire attention.

Une habitude de vérification rapide permet aussi de repérer les erreurs ordinaires qui n'ont rien à voir avec la sécurité : un champ rempli dans la mauvaise case, une étape sautée, une page qui ne s'est pas chargée comme l'agent le supposait. Relire ce qui s'est passé ne coûte rien. Découvrir une erreur après coup, une fois qu'un message est envoyé ou un formulaire soumis, coûte beaucoup plus.

Commencez avec le plus petit espace qui peut raisonnablement faire le travail. Une simple recherche rapide sur un site public n'a pas besoin d'une machine virtuelle ; un profil de navigateur vierge suffit largement. Réservez les options plus lourdes, un compte système dédié ou une machine virtuelle complète, aux tâches que vous allez répéter, aux tâches qui touchent plusieurs sites, ou à tout ce avec quoi vous n'êtes pas encore à l'aise.

Formulez la tâche de façon précise avant de la confier. « Trouve les trois vols les moins chers sur le site de cette compagnie aérienne et liste-les-moi » est une tâche qu'un agent peut accomplir avec presque aucun enjeu. « Réserve le vol qui semble le meilleur » confie une décision et un paiement en une seule étape, ce qui est exactement le genre de tâche qui doit passer par une règle de validation humaine, pas être inscrite dans l'instruction elle-même.

Surveillez attentivement les premières sessions, même dans un espace isolé. L'isolement limite les dégâts qu'une erreur peut causer ; il ne vous dit pas si l'agent accomplit bien la tâche. Une fois que vous l'avez vu gérer quelques sessions comme vous l'attendiez, vous pouvez relâcher votre attention pour cette tâche précise et limitée, mais pas pour une nouvelle tâche que vous n'avez pas encore testée.

Enfin, supposez que l'installation que vous utilisez aujourd'hui aura besoin d'être revue plus tard. Les éditeurs changent ce que leurs agents peuvent faire, quels réglages existent, et quels paramètres par défaut s'appliquent, souvent quelques mois seulement après le lancement d'une fonctionnalité. Revoyez votre propre installation, et la documentation actuelle de cet éditeur, avant de vous appuyer sur un agent pour quelque chose de plus important que ce que vous avez testé au départ.

Un profil de navigateur vierge, un compte séparé ou une machine virtuelle limitent tous l'étendue des dégâts d'une erreur. Aucun d'entre eux ne rend l'agent meilleur en jugement, et aucun n'empêche une page d'arnaque convaincante de faire perdre une heure à une session isolée, même si elle ne peut rien atteindre d'important une fois à l'intérieur. L'isolement concerne ce que l'agent peut toucher, pas s'il va bien interpréter une situation.

Il ne remplace pas non plus le fait de réellement regarder le résultat. Un agent qui tourne dans une machine virtuelle peut toujours remplir un formulaire avec de mauvaises informations, mal interpréter une page confuse, ou accomplir une tâche d'une façon techniquement correcte mais pas celle que vous vouliez. L'habitude de vérification décrite plus haut dans ce guide compte, que l'agent tourne dans l'installation la plus confinée disponible ou la moins confinée.

Enfin, rien ici n'est une installation ponctuelle que vous terminez et oubliez. Anthropic, OpenAI, Microsoft et Google développent chacun encore activement leurs fonctionnalités de computer use et de navigation agentique, ce qui veut dire que les réglages précis, les paramètres par défaut et les garde-fous à votre disposition peuvent changer d'une session à l'autre. Considérez ce guide comme les habitudes qui restent utiles malgré ces changements, et vérifiez la documentation actuelle de l'éditeur pour les noms exacts des fonctionnalités et les réglages devant vous en ce moment.