Donner à Claude l'accès à ton PC, tes mails et ton cloud : quels risques ?

Plus tu donnes d’accès à Claude, plus il devient utile. Les connecteurs le branchent sur tes mails et ton cloud, Cowork agit sur ton ordinateur et tes fichiers, et l’extension navigateur lui laisse lire les pages que tu visites. Mais cette puissance a un revers : tu élargis la surface d’attaque. Cet article explique le risque principal, sans dramatiser, et te donne les réflexes pour en profiter sereinement.

Le vrai danger : l’injection de prompt

Le risque numéro un n’est pas que Claude « devienne malveillant ». C’est qu’un attaquant lui glisse des instructions cachées dans un contenu qu’il va lire, pour le détourner de ta tâche. C’est ce qu’on appelle l’injection de prompt, et Anthropic la décrit comme l’un des défis de sécurité les plus importants pour les agents¹.

Le scénario type : tu demandes à Claude de lire tes mails récents et de répondre aux demandes de rendez-vous. L’un de ces mails, qui ressemble à une relance commerciale banale, contient des instructions cachées en texte blanc, invisibles pour toi mais lues par l’agent¹. Le problème de fond est simple : du point de vue du modèle, tout le texte présent dans son contexte a la même valeur. Rien ne lui dit de façon fiable que telle phrase a été plantée par un attaquant².

flowchart TD
  A["Tu demandes : trie mes mails"] --> B["Claude lit ta boîte"]
  B --> C["Mail piégé : texte caché"]
  C --> D["Instruction malveillante exécutée"]
  D --> E["Tes données partent chez l'attaquant"]

Pourquoi c’est plus grave avec un accès large

Tant que Claude se contente de discuter, une injection réussie ne fuite que le contexte de la conversation. Mais dès qu’il a des outils et des accès, l’éventail des dégâts change de catégorie : lire tes fichiers locaux, envoyer des messages en ton nom, interagir avec tous les services où tu es connecté, le tout sans forcément déclencher une fenêtre de permission³.

Ce ne sont pas des hypothèses de laboratoire. Quelques exemples publics de 2026 :

• Cowork : dans les 48 h suivant son lancement, des chercheurs ont montré qu’un document Word contenant du texte blanc invisible pouvait pousser l’agent à téléverser des documents financiers de l’utilisateur vers le compte d’un attaquant, sans aucune action de la victime au-delà de l’ouverture du fichier⁴.
• Claude.ai seul : l’attaque « Claudy Day » a chaîné une injection invisible et une exfiltration pour voler l’historique de conversation d’une session standard, sans aucun connecteur ni outil activé. La faille a été corrigée par Anthropic⁵.
• Extension Chrome : la chaîne « ShadowPrompt » permettait, en visitant simplement une page piégée, d’injecter des prompts comme si tu les avais tapés. Corrigé dans la version 1.0.41 de l’extension⁶.

Un détail technique revient dans plusieurs de ces cas : l’exfiltration passe souvent par un domaine de confiance déjà autorisé (l’API d’Anthropic elle-même), ce qui la rend difficile à bloquer au niveau réseau⁵.

Le piège de la fenêtre de permission

On pourrait croire que valider chaque action protège. En pratique, c’est fragile. Les propres données d’Anthropic montrent que les utilisateurs approuvaient environ 93 % des demandes de permission². À force d’avoir des pop-ups, on clique « oui » par réflexe. Les utilisateurs expérimentés, eux, auto-approuvent encore plus souvent, mais surveillent l’agent et l’interrompent quand il dérive². Autrement dit : la vigilance humaine aide, mais elle ne remplace pas une bonne hygiène d’accès.

Il faut aussi garder en tête que toute ressource externe branchée sur l’agent représente deux risques à la fois : un risque classique de chaîne d’approvisionnement (le code de l’outil) et un vecteur d’injection (le contenu qu’il renvoie)⁷. Et un outil distant, comme un connecteur hébergé, peut changer de comportement après que tu l’as approuvé, contrairement à un outil local que tu peux auditer et figer⁷.

Les réflexes pour t’en protéger

La bonne nouvelle, c’est que le risque se réduit beaucoup avec quelques habitudes simples.

• Le moindre accès. Ne branche que ce dont tu as réellement besoin, et déconnecte ce qui ne sert plus. Un connecteur que tu n’utilises pas reste une porte ouverte.
• Sépare le sensible. Évite de laisser un agent agir directement sur tes documents les plus sensibles (finances, santé, mots de passe, données client). Anthropic recommande d’ailleurs de ne pas connecter Cowork à des dossiers sensibles⁸.
• Méfie-toi du contenu non sollicité. Le danger vient surtout des contenus que tu n’as pas écrits toi-même : un mail reçu, une page web, un PDF d’origine inconnue, un serveur tiers. Ce sont les vecteurs d’injection privilégiés.
• Garde un humain dans la boucle pour les actions irréversibles. Envoi de mail, suppression de fichiers, paiement : ce sont les moments où un coup d’œil avant validation vaut le détour.
• Reste à jour. Beaucoup de failles connues ont été corrigées dans des versions précises (extension Chrome 1.0.41, par exemple)⁶. Utiliser la dernière version compte vraiment.
• Privilégie le répertoire officiel. Pour les connecteurs, le répertoire d’Anthropic fait l’objet d’une revue continue ; tout ce qui en sort doit être considéré comme non fiable par défaut⁷.

Ce que fait Anthropic de son côté

Tu n’es pas seul face au problème. Anthropic combine plusieurs défenses : des classificateurs qui scannent tout contenu non fiable entrant dans le contexte pour repérer les injections (texte caché, images manipulées, faux éléments d’interface), du red teaming humain continu, et des progrès de robustesse au niveau du modèle lui-même¹. Anthropic présente d’ailleurs ses modèles récents comme un net progrès sur ce front, tout en répétant que l’injection de prompt est loin d’être un problème résolu¹.

La bonne façon de voir les choses : la sécurité repose sur plusieurs couches. Les défenses d’Anthropic en sont une, tes habitudes d’accès en sont une autre, tout aussi importante.

Pour aller plus loin (côté technique)

Si tu veux le modèle mental que les équipes sécurité utilisent vraiment, voici les notions clés.

La triade létale. Le terme, popularisé par Simon Willison, désigne la combinaison de trois capacités qui rend une injection catastrophique : l’agent a accès à des données sensibles, il traite du contenu non fiable, et il peut communiquer vers l’extérieur⁹. Tant qu’une seule de ces trois branches manque, l’impact reste contenu. Le piège, c’est que la plupart des usages réellement utiles (lire tes mails, agir sur ton cloud, parcourir le web) réunissent les trois sans qu’on s’en rende compte.

flowchart TD
  S["Données sensibles"] --- U["Contenu non fiable"]
  U --- E["Communication vers l'extérieur"]
  E --- S
  C["Les trois réunies = risque maximal"]

L’Agents Rule of Two. De cette idée découle une règle pratique, formalisée par Meta et reprise dans la réflexion d’Anthropic : tant qu’on ne sait pas détecter l’injection de façon fiable, un agent ne devrait réunir au plus que deux des trois propriétés ci-dessus dans une même session. S’il a besoin des trois, il faut un humain dans la boucle ou repartir d’un contexte vierge⁹. C’est exactement ce que traduisent, en pratique, les réflexes « sépare le sensible » et « garde un humain pour l’irréversible ».

Le containment plutôt que le filtrage. Anthropic raisonne moins en « empêcher l’injection » qu’en « limiter le rayon de dégâts » (le blast radius). Concrètement : isoler l’agent dans une machine virtuelle, contrôler ses sorties réseau (egress), et faire en sorte que les identifiants n’entrent jamais dans le bac à sable, donc qu’ils ne puissent pas en sortir⁷. Pour Cowork, les identifiants restent dans le trousseau de l’hôte et la VM ne reçoit qu’un jeton réduit, révocable indépendamment de ton compte⁷. C’est aussi pour ça que l’exfiltration via un domaine déjà autorisé est si gênante : elle contourne précisément le contrôle d’egress.

Les chiffres, et leurs limites. Anthropic a la particularité de publier des taux de succès d’attaque dans ses system cards. Pour Sonnet 4.6, sur du computer use avec extended thinking et tous les garde-fous actifs, une attaque réussit environ 8 % du temps en une seule tentative, et le taux grimpe jusqu’à environ 50 % en tentatives illimitées ; dans un environnement de code pur, le même modèle tombe à 0 %¹⁰. La leçon est nette : ce qui fait la différence, c’est moins le modèle que l’environnement dans lequel il agit. Un environnement de code reçoit des entrées structurées, là où le computer use rencontre du contenu arbitraire (pages web, mails, invitations d’agenda, documents à texte caché). Et même un faible taux par tentative finit par se cumuler sur des interactions répétées. À retenir : ces chiffres montrent une vraie amélioration d’une génération à l’autre, mais aucun ne descend à zéro hors environnement contraint, ce qui justifie de garder les réflexes ci-dessus plutôt que de s’en remettre au seul modèle.

En résumé

Donner à Claude l’accès à ton PC, tes mails et ton cloud n’est pas dangereux en soi, mais cela transforme une simple fuite de conversation en risque potentiel sur l’ensemble de tes données. Le bon dosage, c’est d’ouvrir progressivement, de ne brancher que l’utile, de garder la main sur les actions sensibles, et de te rappeler que le vrai danger se cache dans le contenu que tu n’as pas écrit. Avec ces réflexes, tu profites de la puissance des connecteurs et de Cowork en gardant le contrôle. Pour resituer tout ça, reviens au guide complet.