Le 30 juillet 2026, Google a franchi une ligne que les autres éditeurs contournaient encore. Gemini Spark ne pilote plus un navigateur distant dans un centre de données : il prend la main sur Chrome installé sur votre machine, avec vos comptes déjà connectés et vos mots de passe enregistrés. L'agent réserve, compare, remplit des formulaires à votre place, et vous rend la main au moment de payer.
Le gain de capacité est réel. Le changement de modèle de sécurité l'est tout autant, et il mérite d'être compris avant d'activer la fonction.
Ce que Google a annoncé pour Gemini Spark
La fonctionnalité s'appelle auto browse. Elle autorise Gemini Spark à utiliser le Chrome de votre poste pour naviguer avec vos sessions authentifiées, plutôt que de repartir d'un navigateur vierge.
| Point | Ce que Google indique |
|---|---|
| Périmètre | Chrome desktop sur votre appareil, comptes connectés et mots de passe enregistrés |
| Signalement | Un indicateur Gemini et auto browse apparaît dans la barre supérieure de Chrome |
| Actions sensibles | Les paiements doivent être approuvés par vous avant exécution |
| Accès | Abonnés Google AI Pro |
| Déploiement | Les États-Unis d'abord, d'autres régions ensuite |
En parallèle, Spark s'étend à plus de 160 pays supplémentaires pour les abonnés AI Pro. Nous avions détaillé le positionnement initial de l'assistant dans notre article sur Google I/O 2026 et le pricing compute-used.
Les cas d'usage que Google met en avant pour Gemini Spark sont volontairement domestiques : organiser des visites d'appartements, chercher des vols. Ce sont précisément les tâches où le blocage n'est pas l'intelligence du modèle, mais l'authentification.
Gemini Spark dans votre navigateur contre le navigateur headless
C'est la vraie rupture, et elle est architecturale. Jusqu'ici, deux écoles coexistaient.
Le navigateur headless
L'agent tourne sur un serveur, dans un navigateur sans interface, isolé de vous. C'est propre : il ne détient aucun de vos identifiants, une compromission ne touche pas vos comptes, et l'exécution est reproductible.
C'est aussi très limité. Sans session, l'agent bute sur le premier mur de connexion. Il se fait détecter par les protections anti-robot, il ne voit ni vos commandes passées, ni vos préférences, ni les prix négociés de votre compte professionnel.
Le navigateur de l'utilisateur
L'agent hérite de tout ce que vous avez déjà : cookies, sessions, moyens de paiement enregistrés, historique. Il ressemble à un humain parce qu'il agit littéralement depuis votre poste.
La capacité de Gemini Spark fait un bond. Mais il travaille désormais à l'intérieur de votre périmètre de confiance, et c'est là que le calcul change.
La contrepartie : une surface d'injection élargie
Un agent qui lit le web et détient vos identifiants réunit les deux conditions d'une attaque par injection de prompt indirecte. Le principe est simple : un attaquant cache des instructions dans une page, l'agent les lit, les prend pour une consigne légitime, et les exécute avec des droits réels.
Ce n'est plus théorique. L'unité de recherche Unit 42 de Palo Alto Networks a documenté des cas observés en conditions réelles, et le tableau est instructif.
| Observation Unit 42 | Valeur |
|---|---|
| Techniques de livraison de charge cataloguées | 22 |
| Cas employant un cadrage d'ingénierie sociale | 85,2 % |
| Pages n'embarquant qu'une seule charge | 75,8 % |
| Attaques visant la destruction de données | 14,2 % |
| Tentatives de contournement de modération IA | 9,5 % |
Les techniques relevées vont du texte masqué en CSS au JavaScript dynamique encodé en Base64, en passant par l'empoisonnement SEO pour pousser des domaines de hameçonnage. Plusieurs cas ciblaient directement des rails de paiement comme Stripe et PayPal.
Le cadrage social à 85,2 % est le chiffre qui doit retenir l'attention. Ces attaques ne cherchent pas une faille technique : elles écrivent « ceci est une mise à jour de sécurité » et comptent sur le fait que le modèle obéit aux formulations d'autorité. C'est le sujet que nous traitions dans notre article sur la prompt injection, menace n°1 de l'IA en 2026.
Google annonce des protections contre l'injection dans Chrome pour Gemini Spark. Il faut les prendre pour ce qu'elles sont : une réduction du risque, pas une élimination. OpenAI, qui a lancé son Lockdown Mode en février 2026, le formule sans détour dans sa propre documentation : le dispositif réduit substantiellement le risque d'exfiltration mais ne garantit pas qu'elle ne puisse pas se produire.
Le garde-fou le plus solide de l'annonce Google n'est d'ailleurs pas technique. C'est la reprise en main obligatoire au moment du paiement. Autrement dit : l'éditeur lui-même place la frontière de confiance juste avant l'irréversible.
L'autre bout de la chaîne : l'agent côté site
Toute cette conversation porte sur l'agent qui visite le web pour le compte d'un utilisateur. Il existe une symétrie que peu de monde regarde : l'agent qui répond sur un site, pour le compte de l'entreprise qui le publie.
C'est le modèle de Bravok, l'agent que nous déployons chez RedArrow et que vous croisez sur ce site. La différence d'architecture est totale, et elle est éclairante.
| Agent visiteur (Spark) | Agent éditeur (Bravok) | |
|---|---|---|
| Où il s'exécute | Le navigateur de l'utilisateur | Le site de l'entreprise |
| Ce qu'il détient | Sessions, mots de passe, moyens de paiement | Le contenu public de l'entreprise |
| Ce qu'il peut faire | Agir sur vos comptes | Répondre, qualifier, orienter |
| Surface d'injection | Tout le web ouvert | Le périmètre documentaire fourni |
| Conséquence d'une compromission | Vos comptes | Une réponse fausse sur un site |
Un agent éditeur ne détient aucun identifiant. Une instruction malveillante glissée dans une page ne lui donne accès à rien, parce qu'il n'a accès à rien. Cela ne le rend pas invulnérable, une réponse manipulée reste un problème de réputation, mais le pire scénario n'a pas la même nature.
Bravok annonce par ailleurs une interopérabilité via le protocole MCP avec Claude, ChatGPT et Gemini. Ce détail paraît technique. Il est en réalité au cœur de ce qui vient.
Ce que ça annonce pour le web
Si l'agent dans le navigateur se généralise, une partie croissante de vos visiteurs ne sera plus humaine. Ce sera Gemini Spark, un Atlas ou un équivalent, venu pour le compte de quelqu'un, qui lit votre site, compare vos offres et repart avec une réponse.
Trois conséquences se dessinent.
Votre site doit être lisible par une machine. Un contenu clair, structuré, avec des données factuelles accessibles, cesse d'être un confort de lecture pour devenir une condition d'existence. Un agent pressé qui ne trouve pas votre tarif ira chez celui qui l'affiche.
Le référencement se dédouble. Être trouvé par un humain sur Google et être cité par un assistant dans une réponse générée deviennent deux exercices distincts. Nous l'observons déjà côté Microsoft, où l'index Bing alimente les citations de Copilot.
Les deux agents vont se parler. C'est exactement ce que permet MCP : un agent visiteur qui interroge un agent éditeur, plutôt que de deviner en lisant du HTML. Ce n'est plus de la navigation, c'est une conversation entre machines, et l'entreprise qui n'a personne au bout du fil ne participe pas.
Notre avis chez RedArrow
Nous trouvons l'annonce de Google honnête sur un point souvent escamoté : la frontière du paiement. Placer la reprise en main humaine juste avant l'irréversible, c'est reconnaître que le problème d'injection n'est pas résolu, et que l'on préfère un garde-fou humain à une promesse d'éditeur. C'est le bon arbitrage, et nous le tenons pour la ligne de conduite à retenir sur tout déploiement d'agent.
Pour les dirigeants de PME et d'ETI qui nous lisent, le sujet immédiat n'est pas d'activer Gemini Spark. C'est de comprendre que le trafic de votre site va progressivement se peupler de machines mandatées, et que rien dans un site vitrine classique n'a été pensé pour ça. Un agent qui arrive sur une page produit sans prix, sans délai et sans conditions repartira les mains vides, sans jamais remplir votre formulaire de contact.
Notre conviction est qu'il faut travailler les deux bouts. Côté défense, ne jamais donner à un agent plus de droits que ce que la tâche exige, et garder l'humain sur les actions irréversibles : c'est le principe que nous appliquons quand nous intégrons un agent IA à un CRM ou un ERP. Côté offense, se rendre interrogeable, par les humains comme par les machines, ce que fait un agent IA sur mesure branché sur vos contenus et vos processus réels.
La bonne question n'est plus « est-ce que mon site est beau ». C'est « est-ce que mon site sait répondre quand personne ne le regarde ».
Questions fréquentes
Gemini Spark peut-il payer à ma place sur Chrome ?
Non. Google impose une approbation humaine explicite avant tout paiement ou action sensible. L'agent prépare la commande, remplit le panier, puis vous rend la main. C'est une limite volontaire de conception, pas une lacune technique.
En quoi un agent qui utilise mon navigateur est-il plus risqué qu'un agent classique ?
Parce qu'il hérite de vos sessions connectées et de vos mots de passe enregistrés. Un agent en navigateur distant qui se fait manipuler ne peut pas accéder à vos comptes, il n'en a aucun. Un agent dans votre Chrome, si. La capacité et le risque augmentent ensemble.
Faut-il préparer son site à recevoir des agents IA ?
Oui, et ça commence par le contenu. Prix, délais, conditions et réponses aux questions courantes doivent être accessibles en texte, structurés et sans dépendre d'une interaction. Un agent qui doit deviner passe son chemin. Un agent éditeur installé sur le site va plus loin en répondant directement.
En résumé
Google a fait passer Gemini Spark du navigateur isolé au navigateur de l'utilisateur, avec les sessions et les mots de passe que ça implique. C'est un saut de capacité assumé, payé par une surface d'attaque considérablement plus large, dans un contexte où l'injection de prompt indirecte est déjà documentée en conditions réelles.
Pour une entreprise, l'enjeu n'est pas d'adopter ou de refuser cet agent. Il est de se préparer à un web où les visiteurs sont parfois des machines, et où celle qui repart sans réponse ne revient pas.
Parlons de votre agent IA en 30 minutes →
Sources : Google via 9to5Google, 30 juillet 2026 · Unit 42, Fooling AI Agents: Web-Based Indirect Prompt Injection Observed in the Wild · OpenAI, Lockdown Mode
