Il y a encore quelques semaines, ChatGPT était incapable de retenir nos identifiants et nos mots de passe. Le 25 août dernier, une mise à jour discrète a fait sauter le verrou. Depuis, et à condition d’avoir validé une première authentification à la main, plus aucune intervention humaine n’est nécessaire. ChatGPT est capable de se reconnecter sur vos comptes, sans aucune validation humaine.
Le navigateur cloud de ChatGPT a les clés de chez vous
OpenAI a étendu les capacités du navigateur cloud de ChatGPT, que l’agent pilote pour accomplir des tâches à votre place comme réserver une table au restaurant, remplir des formulaires, comparer des offres… et maintenant réaliser des opérations bancaires à votre place. Jusqu’ici, l’outil butait systématiquement sur les pages de connexion. La mise à jour du 25 août vient corriger le problème. Pour rassurer les sceptiques, OpenAI assure que le modèle ne voit jamais vos informations de connexion, et que ces dernières ne sont ni stockées ni utilisées pour l’entraînement.
Reste que le vrai sujet n’est pas le mot de passe, mais bien ce qui vient après. Une fois la session ouverte, le navigateur cloud conserve ses propres cookies de connexion : lors des tâches suivantes, l’agent se reconnecte sans rien demander à personne. Tant que les cookies ne sont pas supprimés manuellement dans les réglages, la session reste ouverte, et OpenAI peut y accéder librement, même si votre ordinateur est éteint. À noter que, selon nos confrères de ZDnet, le bot a plusieurs fois été mis en défaut, non pas par ses garde-fous, mais bien par les systèmes anti-bots des plateformes visées.
Des cookies nommés danger
Au cœur de cette affaire, on retrouve les cookies, ces petits fichiers stockés en local sur votre ordinateur, qui attestent de votre identité après une première connexion. Au quotidien, c’est bien pratique pour éviter d’avoir à se reconnecter systématiquement à chaque rafraichissement de page. Entre de mauvaises mains, le résultat peut être chaotique.
En théorie, l’utilisateur garde la main. Les réglages du navigateur cloud proposent trois niveaux d’autorisation : demander à chaque nouveau site (par défaut), approuver automatiquement sauf danger détecté, ou tout autoriser. Sur cette dernière option, OpenAI admet lui-même que « ce n’est pas recommandé ». On ne peut que vous encourager à suivre le conseil.