Épinglé pour avoir installé silencieusement 4 Go d'intelligence artificielle dans Chrome, Google assume et s'explique. Pour le géant du web, imposer le modèle local Gemini Nano sans demander la permission est tout simplement le prix à payer pour protéger la vie privée des internautes.
L'une des dernières versions de Chrome installe en silence un fichier de 4 Go sur les ordinateurs compatibles : les poids du modèle Gemini Nano. Aucune notification, pas de bouton pour refuser, et la suppression manuelle ne tient pas.
Alexander Hanff, consultant, a remonté un truc pas net sur Chrome. La dernière version du navigateur télécharge en arrière-plan un modèle de langage local appelé Gemini Nano, qui pèse environ 4 Go, sans jamais demander la moindre permission à l'utilisateur.
Le fichier s'appelle weights.bin, il atterrit dans un dossier OptGuideOnDeviceModel quelque part dans votre profil Chrome, et il sert ensuite à des fonctions du genre "Help me write" ou détection de fraude.
Hanff a documenté l'opération via les logs système de son macOS. Le 24 avril 2026 vers 16h38, Chrome crée le dossier. Quelques minutes plus tard, il télécharge et décompresse les 4 Go (l'opération prend une quinzaine de minutes), puis il les déplace à l'emplacement final. Tout ça pendant que vous ne touchez rien à votre machine. Si vous supprimez le fichier à la main, il sera réinstallé silencieusement au prochain lancement du navigateur.
Hanff estime entre 100 millions et 1 milliard de machines concernées dans le monde. Multipliez 4 Go par 1 milliard et vous obtenez de quoi remplir une bonne partie d'un datacenter.
L'auteur calcule également l'impact carbone du déploiement, entre 6 000 et 60 000 tonnes de CO2e rien que pour le réseau, sans compter l'empreinte SSD. Pour un fichier que personne ne vous a demandé d'installer.
Sur le plan légal, Hanff parle d'une "violation directe" de l'article 5(3) de la directive ePrivacy européenne, qui interdit de stocker quoi que ce soit sur l'appareil d'un utilisateur sans consentement explicite. Il évoque aussi un manquement RGPD. Si la qualification tient, ça serait une amende salée pour Google, sachant que les Cnil européennes ont déjà sanctionné Meta et Microsoft pour des choses bien moins foireuses.
Pour s'en débarrasser, trois options : aller dans chrome://flags pour désactiver les fonctions IA, passer par les politiques d'entreprise si vous gérez un parc de machines, ou virer Chrome, tout simplement.
Bref, Google qui pousse 4 Go d'IA en silence sur des centaines de millions de machines, c'est un sale moche.
Source : That Privacy Guy
Flash à sa grande époque c'était quand même tout un truc, mais est-ce que vous vous souvenez de Shockwave ? Le grand frère de Flash (techniquement c'était une autre techno bâtie sur Director mais bref...), qui était capable de faire tourner des trucs bien plus complexes que les vieux .swf ?
Et ben l'équipe derrière DirPlayer s'est tapé tout le reverse-engineering du moteur Director from scratch pour le ressusciter grâce à Rust et le rendre à nouveau fonctionnel dans nos navigateurs modernes !
Faut savoir qu'Adobe a débranché Shockwave Player en avril 2019 et Flash un peu plus tard, et avec eux c'est un pan entier du web rétro qui s'est retrouvé inaccessible du jour au lendemain. Du genre tous ces jeux qui tournaient sur Shockwave.com ou les vieux portails de mini-jeux des années 2000, paf, d'un coup plus moyen d'y rejouer.
Alors heureusement, pour Flash, y'a déjà Ruffle qui fait tourner les bons vieux .swf. Hé bien ici c'est le même principe avec DirPlayer pour les .dcr Shockwave.
L'outil se décline sous 3 formes. D'abord une extension Chrome qui détecte automatiquement les balises Shockwave qui traînent encore sur les vieux sites web, ce qui peut être sympa pour redécouvrir des sites des années 2000.
Y'a aussi une version standalone construite avec Electron qui embarque carrément un debugger Lingo (le langage de scripting de Director, super pratique si vous voulez bidouiller du contenu existant). Et enfin un polyfill JS auto-contenu qui réécrit les et directement sur votre site web.
Perso, pour vous faire une idée, je vous invite surtout à jeter un oeil à la démo web pour tester rapidement parce qu'il n'y a rien à installer. Mais dès que vous voudrez analyser ou debugger un vieux jeu en profondeur, faudra plutôt opter pour la version standalone.
Notez que DirPlayer utilise Ruffle en submodule Git donc les 2 projets sont liés et bonus côté sécurité, le tout tourne en WebAssembly avec le sandboxing du navigateur, donc y'aura plus toutes ces failles qu'on pouvait retrouver à l'époque sur l'ancien plugin Shockwave Player.
Pour les sites qui hébergent encore des applis ou des jeux Shockwave (genre archive.org, avec des musées interactifs ou des jeux des années 2000), c'est une nouvelle corde à leur arc. Et si vous avez de vieux .dcr planqués sur un disque dur, la démo web devrait pouvoir les avaler aussi (faudra tester quoi...).
Bref, grâce à Ruffle pour Flash et DirPlayer pour Shockwave, le web des années 90-2000 n'est pas encore tout à fait mort ! Un peu comme moi finalement ^^
Souvenez-vous, en mai 2025 quand je vous parlais de BleachBit 5.0 et de son grand ménage de printemps. Hé bien Andrew Ziem, le développeur historique du soft, vient de balancer la version 6.0 samedi dernier !
Et c'est annoncé comme la plus grosse release du projet depuis des années, avec plus de 100 améliorations et bug fixes au programme. Et surtout deux nouveautés qui sortent du lot.
La première, c'est un Cookie Manager qui vous laisse enfin choisir quels cookies garder lors d'un nettoyage, sur les navigateurs Chromium et Firefox. Plus besoin donc de tout dégager d'un coup et de devoir ressaisir vos sessions partout.
Vous gardez ce qui compte (banque, mail, sites où vous êtes loggés en permanence) et le reste passe à la machine. Andrew a même mis une vidéo de démo sur la page de release pour montrer le truc en action.
Côté browsers, BleachBit 6.0 ajoute aussi des nettoyeurs natifs pour Vivaldi et Zen, et améliore sérieusement la couverture sur Chromium (Brave, Edge, Chrome, et bien sûr Chromium lui-même). De la purge du component cache, des shaders, du Graphite Dawn cache, des crash reports, du DIPS, des IndexedDB, des suggestions de recherche... Bref, le périmètre est large !
Sur Firefox, LibreWolf et Waterfox, ça nettoie maintenant le bounce tracking protection, le site security state, les alternate services, les favicons et les session backups. De quoi faire plaisir aux paranos modérés.
Et le mode Expert, c'est l'autre nouveauté sympa pour celles et ceux qui ne sont pas trop à l'aise avec les outils sysadmin. Quand il est désactivé (le mode par défaut, en fait), BleachBit met des garde-fous sur les opérations risquées (genre supprimer les mots de passe stockés dans le navigateur) avec des avertissements bien visibles. Et des options carrément bloquées.
Sauf que dès que vous l'activez, vous accédez aux options protégées et désactivez certaines confirmations. Attention quand même, certaines options peuvent dégommer des trucs irrécupérables, donc à manier avec discernement.
Y'a aussi un bug critique fixé sous Windows, où BleachBit suivait les junctions et symlinks placés directement dans la corbeille, et finissait par effacer le dossier cible au lieu de la junction elle-même. Du coup, perte de données accidentelle hors corbeille. Ce fix vital vaut à lui seul l'upgrade.
BleachBit reste un soft sous licence GPL, gratuit, dispo sur Linux et Windows, avec une CLI complète pour l'automatisation et le scripting. La génération de Chaff (les données fictives qui camouflent des suppressions sensibles) tourne plus vite, avec des conditions d'arrêt flexibles et un bouton stop qui n'existait pas avant ! Ah, et Ctrl+V dans la fenêtre principale permet maintenant de coller des chemins de fichiers à shredder, même en texte brut depuis Notepad.
C'est super pratique !
Une refonte complète de l'interface graphique est également dans les tuyaux pour la prochaine grosse release, donc si l'UI actuelle vous fait grincer des dents, sachez que ça arrive. Pour l'instant, BleachBit 6.0 est disponible en téléchargement sur le site officiel, avec installeurs Windows et paquets Linux signés.
Voilà une mise à jour à faire si vous tournez déjà avec BleachBit, et un test à tenter si vous cherchez un outil de nettoyage qui fait sérieusement le job sans vous faire payer un abonnement.
Cat Gatekeeper, c'est une extension Chrome signée Zokuzoku, un développeur japonais et son truc à lui c'est de balancer un chat virtuel sur votre écran quand vous traînez trop longtemps sur les réseaux sociaux (Pour le moment, X, Instagram, TikTok et YouTube). Voilà c'est un peu comme cette grosse boule de graisse que vous appelez "Mon chat" et qui vient toujours s'installer sur votre clavier au pire moment quand vous bossez ! Sauf que celui-là est virtuel et vient saboter votre dose de scroll infini.
Suffit pour cela d'installer l'extension depuis le Chrome Web Store , vous réglez votre limite de temps (60 minutes par défaut), votre durée de pause (5 minutes par défaut), et c'est plié.
Ensuite, dès que le compteur arrive à zéro, l'énorme chat débarque en overlay et occupe votre écran le temps de la pause.
Le truc qui me plaît avec ce truc, c'est l'angle d'approche car masquer ou bloquer des éléments de réseau social comme le fait Unhook sur YouTube , ça aide vraiment à réduire les distractions au quotidien, mais je trouve qu'un chat qui arrive pour vous obliger à respirer un bon coup, c'est plus mignon.
Un développeur japonais propose une solution aussi absurde qu’efficace contre le scroll infini : faire apparaître un chat géant, pour vous obliger à lever le nez de votre écran.
Dans un article de blog publié le 13 avril 2026, les équipes de recherche de Socket révèlent que, pendant plusieurs mois, 108 extensions Chrome apparemment anodines ont secrètement œuvré pour le compte d’un même opérateur, exfiltrant des sessions, des identifiants Google et des données de navigation vers une infrastructure centralisée
Pour contrer les infostealers, Google vient de déployer une nouvelle fonctionnalité dans Chrome 146 pour Windows : DBSC (Device Bound Session Credentials).
Le post Google Chrome 146 : un nouveau mécanisme contre le vol de cookies a été publié sur IT-Connect.
Depuis le 9 avril 2026, Google déploie une protection cryptographique dans Chrome 146 sur Windows, conçue pour neutraliser l'une des techniques les plus répandues dans l'arsenal des cybercriminels : le vol de cookies de session.
Google vient d'annoncer l'arrivée des onglets verticaux dans Chrome sur ordinateur. Une fonction que des navigateurs comme Edge ou Arc proposaient depuis des années, et qui arrive avec un mode lecture plein écran revu.
L'option est désactivée par défaut. Pour l'activer, il suffit de faire un clic droit sur la barre d'onglets et de choisir "Afficher les onglets verticalement". Les onglets passent alors dans une barre latérale sur le côté de la fenêtre, avec le nom complet de chaque page affiché en clair. La gestion des groupes d'onglets est aussi plus lisible dans ce mode, ce qui est quand même pratique quand on commence à dépasser la dizaine d'onglets ouverts.
Et une fois activée, l'option reste en place tant que vous ne revenez pas manuellement à l'affichage classique.
Google a aussi profité de cette mise à jour pour revoir le mode lecture. Jusqu'à présent, il s'affichait dans un panneau latéral, ce qui n'était pas toujours très confortable. La nouvelle version propose un affichage plein écran qui supprime les distractions. Un clic droit sur une page, puis "Ouvrir en mode lecture", et c'est parti.
Les deux fonctions sont en cours de déploiement sur la version bureau de Chrome. Google ne précise pas de numéro de version, mais indique que tous les utilisateurs devraient y avoir accès dans les prochaines semaines.
Pour le contexte, Microsoft Edge propose les onglets verticaux depuis 2021, Firefox les a ajoutés l'an dernier, et des navigateurs comme Arc ou Vivaldi en avaient fait un argument de vente depuis le début. Chrome arrive donc bon dernier sur ce coup-là.
C'est une bonne nouvelle pour les utilisateurs de Chrome qui jonglent avec des dizaines d'onglets au quotidien. Les onglets verticaux, c'est un vrai gain de lisibilité sur les écrans larges, et on se demandait depuis un moment pourquoi Google trainait autant pour le proposer.
Source : 9to5Google
Les extensions Chrome qui promettent de l'IA, ça pullule de ouf et à vrai dire, la plupart se contentent d'envoyer vos données sur un serveur distant. C'est naze ! Heureusement, l'extension Gemma Gem prend le problème à l'envers puisque son modèle tourne directement dans votre navigateur via WebGPU, sans clé API, sans cloud, et vos données ne sortent jamais de votre machine. C'est comme le kir, royal !
Comme c'est pas sur le Chrome Web Store, faudra la builder vous-même... Vous clonez le repo, vous lancez pnpm install puis pnpm build et vous chargez le dossier dans chrome://extensions en mode développeur et ensuite, elle téléchargera le modèle de Google (environ 500 Mo pour la version légère, genre le poids d'un gros jeu mobile), et pif paf pouf, ensuite vous aurez un agent IA qui vit sa best life dans votre Chrome.
Cliquez alors sur l'icône en bas à droite, une fenêtre de chat s'ouvre et vous pourrez interroger n'importe quelle page. Et si vous préférez un modèle plus costaud, l'E4B pèse 1,5 Go et permet d'obtenir des réponses plus fines.
Sauf que c'est pas juste un chatbot de plus. En effet, l'extension fait du tool calling en boucle à l'aide de 6 outils : read_page_content, click_element, type_text, scroll_page, take_screenshot et run_javascript. Elle peut ainsi lire une page, cliquer sur des boutons, remplir un formulaire et même balancer du JavaScript dans le contexte de la page.
Comme l'inférence WebGPU ne peut pas tourner dans un service worker Chrome (y'a pas d'accès au GPU, c'est une limitation connue depuis des années), le développeur a trouvé une parade : il utilise un offscreen document, c'est-à-dire une page HTML invisible que Chrome maintient en arrière-plan et qui, elle, a accès au GPU. Résultat, le modèle calcule dans cette page fantôme, le service worker joue le facteur entre les morceaux, et le content script affiche le chat. Je trouve ça bien pensé comme découpage !
Toute la boucle d'agent (le code qui décide quand appeler un outil et quand répondre) est isolée dans un dossier agent/ sans aucune dépendance Chrome. Cela veut dire que vous pouvez prendre ces 5 fichiers .ts (agent-loop.ts, prompt-builder.ts, tool-parser.ts, types.ts et index.ts), les coller dans un projet Node.js ou Deno, et hop, vous avez votre propre boucle agentique. Yaniv Kessler, le développeur a pensé le truc pour que ça serve ailleurs.
Les deux variantes (E2B et E4B) sont compressées en q4f16 avec 128K tokens de contexte en théorie, même si en pratique la fenêtre effective dépend de votre VRAM. Cela dit, c'est largement de quoi avaler une page web complète sans broncher ! Et le modèle reste en cache après le premier téléchargement, du coup au deuxième lancement, c'est quasi instantané. Par contre, si vous êtes sur un vieux Chromebook avec un Intel UHD intégré et 4 Go de RAM, ça risque de mouliner à fond. Et sur Firefox (qui est le meilleure navigateur du monde, comme je n'ai de cesse de vous le dire), le WebGPU est encore un peu expérimental, donc pour l'instant ce sera Chrome ou rien... Sniiif.
Si vous avez déjà testé des extensions comme Localsumm qui faisaient tourner Phi-3 en local pour résumer des pages, disons que Gemma Gem pousse le concept beaucoup plus loin avec ses capacités d'agent. Et si le sujet de l'IA locale dans le navigateur vous branche, jetez un oeil à Clippy qui fait tourner des LLM localement sur votre desktop.
Notez quand même que sur Hacker News, le projet a déclenché pas mal de débat. Certains pointent le risque du tool run_javascript qui donne au modèle les pleins pouvoirs sur le DOM (genre, supprimer des trucs ou poster un formulaire à votre place). C'est vrai que c'est important mais bon, c'est le même modèle de permissions que n'importe quel script web classique, sauf que là au moins vos données restent chez vous.
Bref, 500 Mo de modèle, pas de cloud, et votre navigateur qui devient plus autonome que votre fils de 22 ans. Pas mal non ?
Une mise à jour Google Chrome corrige une faille de sécurité zero-day exploitée dans des attaques : CVE-2026-5281. La 4ème de ce type depuis début 2026.
Le post Google corrige en urgence la 4ème faille zero-day de Chrome en 2026 a été publié sur IT-Connect.
Une faille découverte dans l'extension Chrome de Claude permettait à n'importe quel site web d'injecter silencieusement des prompts dans votre assistant IA. Pas besoin de cliquer, pas besoin de permission... non, fallait juste visiter une page web et c'était réglé. Le chercheur Oren Yomtov de Koi Security à l’origine de cette découverte, a baptisé ça "ShadowPrompt" et vous allez voir, c'est dingue.
En fait, cette attaque enchaînait deux failles. La première, c'est que l'extension acceptait les messages de n'importe quel sous-domaine en *.claude.ai, car Anthropic avait mis en place un allowlist trop permissif. Sauf qu'Arkose Labs, le fournisseur de CAPTCHA, hébergeait un composant sur a-cdn.claude.ai et malheureusement, ce composant contenait une jolie faille XSS bien classique. Celui-ci acceptait les postMessage sans vérifier l'origine, et le texte reçu était ainsi injectable via un dangerouslySetInnerHTML . Donc y'a bien ZERO validation côté client. Ouééééé !
Un attaquant n'avait qu'à embarquer ce composant CAPTCHA vulnérable dans une iframe cachée sur son site, envoyer un payload via postMessage, et hop, le script injecté pouvait balancer un prompt directement à l'extension. Elle le recevait depuis un domaine *.claude.ai, donc elle l'acceptait les yeux fermés et l'affichait alors dans la sidebar comme une requête légitime de l'utilisateur. La victime ne voyait strictement rien.
Et les dégâts potentiels ne sont clairement pas anecdotiques ! Avec cette technique, un attaquant pouvait voler vos tokens d'accès Gmail, exfiltrer des documents Google Drive, lire tout l'historique de vos conversations avec Claude, et même envoyer des mails en votre nom. Perso, ça fait beaucoup pour un simple onglet ouvert dans Chrome, quoi.
Le chercheur a trouvé le vecteur en bruteforçant les anciennes versions du composant Arkose Labs, en remontant depuis la version 1.26.0 jusqu'à trouver une mouture encore vulnérable. Simple, basique comme dirait Orel :)
Si vous suivez les failles des assistants IA, c'est pas la première fois qu'on voit ce genre de scénario. Claude Cowork s'était déjà fait épingler pour de l'exfiltration de fichiers via des documents piégés, et le navigateur Perplexity Comet avait le même problème avec des invitations de calendrier. Le problème de fond, c'est que ces extensions veulent tout faire à votre place, mais elles ne sont pas forcément capables de distinguer une requête légitime d'une attaque.
Par contre, attention, le fix ne protège que les utilisateurs qui ont mis à jour l'extension, donc n'oubliez pas de vérifier votre version. Koi Security a signalé la faille à Anthropic le 26 décembre 2025 (joyeux Noël !) et ces derniers ont confirmé le lendemain et déployé le correctif le 15 janvier, dans la version 1.0.41 de l'extension Chrome.
Maintenant au lieu d'accepter *.claude.ai, l'extension exige maintenant une correspondance exacte avec https://claude.ai . Arkose Labs a de son côté aussi corrigé la faille XSS en février, en renvoyant un 403 sur l'URL vulnérable. À vrai dire, la réactivité d'Anthropic a été plutôt correcte sur ce coup.
Bref, allez vérifier que vous êtes au moins en v1.0.41 (chrome://extensions pour checker). Et n'oubliez pas, plus une extension IA a de pouvoirs, plus elle est intéressante à hacker...
En moins d'une semaine, Google a publié deux mises à jour de sécurité pour son navigateur Google Chrome. Au total, 34 failles de sécurité ont été corrigées.
Le post Google Chrome : 34 vulnérabilités corrigées en quelques jours a été publié sur IT-Connect.
Dans un article de blog publié le 19 mars 2026, les chercheurs de Gen Threat Labs mettent en lumière les nouvelles capacités de VoidStealer, un infostealer vendu sur le dark web depuis décembre 2025, qui a récemment développé une technique inédite pour contourner le chiffrement renforcé de Google Chrome.
Google a publié deux mises à jour Google Chrome en l'espace de 48 heures dans le but de patcher deux failles zero-day : CVE-2026-3909 et CVE-2026-3910.
Le post Google Chrome : 2 mises à jour en 2 jours pour patcher plusieurs failles zero-day a été publié sur IT-Connect.
Google annonce Chrome pour Linux ARM64 pour le deuxième trimestre 2026. Ce navigateur va s’adresser notamment aux distributions Linux basées sur Debian et RPM.
Cet article Chrome arrive sur Linux ARM64, Google corrige une vieille anomalie a été publié en premier par GinjFo.
Dans un article publié le 16 janvier 2026, les chercheurs en cybersécurité de Huntress ont mis en lumière la face cachée d’une extension de blocage de publicités pour Chrome et Edge. Nommée NexShield, elle provoque volontairement le plantage du navigateur en préparation de l’assaut final.
Connexion