Le 8 septembre, un éditeur qui traîne quinze ans d'ancienneté sur le Chrome Web Store a vu son compte suspendu en six minutes. Motif : « malicious behavior ». En cause, selon lui, trois lignes fausses écrites par un scanner IA tiers intégré à VirusTotal, remontées jusqu'à Google Safe Browsing. Google a depuis repassé le fichier en « No issues detected ». Le compte, lui, reste verrouillé. Et l'histoire a une couche de plus : l'extension n'était pas aussi blanche que son développeur le raconte.
Six minutes pour effacer quinze ans
Reprenons. Magic Actions for YouTube, c'est une extension qui ajoute le mode cinéma, le contrôle du volume à la molette, la qualité HD par défaut. Environ un million d'utilisateurs. Éditée par Mixesoft, derrière le site hotcleaner.com. À côté, Click&Clean, plus d'un million d'utilisateurs, lancée en 2009. Un parc cumulé que l'éditeur chiffre à plus de trois millions.
Le 8 septembre 2026, vers 10 h 50 UTC, l'éditeur reçoit un courriel de retrait. Sans motif détaillé. Six minutes plus tard, second courriel : le compte développeur est suspendu. Le tableau de bord affiche « malicious behavior ». Toutes les extensions de l'éditeur tombent d'un coup, y compris Click&Clean, vieille de dix-sept ans et sans rapport avec le litige.
Le détail qui pique : d'après le récit publié par l'éditeur, signé Dhanur Sehgal, sur le groupe Chromium Extensions, Google a d'abord parlé d'une « internal review ». Une revue interne. Sauf que le signal qui aurait tout déclenché n'a rien d'interne.
La cascade, ou comment une alerte devient une condamnation
La version de l'éditeur tient en quatre étapes, qu'il présente lui-même comme une hypothèse argumentée, pas comme une preuve.
Un. Safe Browsing signale le fichier .crx auto-hébergé sur chromeactions.com, catégorie « Links to harmful downloads / Unwanted Software ». Or ce fichier, selon l'éditeur, est binaire identique, hash SHA-256 identique, à la version validée manuellement par Google un an plus tôt.
Deux. Sur VirusTotal, la quasi-totalité des moteurs, Kaspersky, Defender, Bitdefender, Symantec, renvoient « clean ». Un seul vendeur dit autre chose : Exodia Labs, un analyseur IA de fichiers .crx lancé le 1er octobre 2025 et intégré par VirusTotal dans sa gamme « Crowdsourced AI ». Son verdict, que l'éditeur qualifie d'« hallucination » : l'extension « crée des entrées de menu contextuel renvoyant vers le site du développeur, et envoie périodiquement un identifiant anonyme généré et de la télémétrie d'usage vers api64.com ». Une lecture, selon l'éditeur, qui transforme des appels d'API bénins en description de menace.
Trois. Safe Browsing agrège des données de menaces crowdsourcées. Le signalement unique aurait suffi à déclencher une application automatique côté client, puis la mise du compte en « Malware Creator ».
Quatre. Les utilisateurs, paniqués par le bandeau rouge « contains malware », désinstallent en masse. Ce que les classificateurs interprètent rétroactivement comme une confirmation. La boucle se referme sur elle-même.
La mécanique n'est pas farfelue. La documentation VirusTotal sur les faux positifs rappelle que la plateforme ne fait qu'agréger des détections, et qu'il faut s'adresser au vendeur à l'origine du verdict erroné. C'est précisément ce que l'éditeur a tenté.
Reste une bizarrerie technique qui donne du corps au dossier. Search Console et Safe Browsing affichent « No issues detected ». Mais côté navigateur, chrome://extensions marque le paquet installé comme « contains malware » et le désactive de force. Deux verdicts Google qui se contredisent sur le même fichier. C'est le nœud de l'affaire, et personne chez Google n'est venu l'expliquer.
« Propre » ne veut pas dire « conforme »
C'est ici que l'histoire cesse d'être manichéenne. Le 10 septembre, un intervenant se présentant comme réviseur indépendant, Rusleen Goncaleez, publie une contre-analyse du paquet Magic Actions 7.9.5.6 dans le même fil. Il ne conclut pas à un malware. Mais il contredit la thèse de l'extension irréprochable.
Premier point : les permissions. L'extension demande l'accès à tous les sites HTTP et HTTPS, alors que sa fonctionnalité, YouTube, n'exige qu'un périmètre d'origines bien plus étroit.
Deuxième point : la télémétrie. L'extension transmettrait automatiquement la version du navigateur et de Chromium, le système d'exploitation, la langue, le fuseau horaire, le moment d'installation et l'état des rappels vers api64.com. Ce qui entre en collision avec la mention publique « nous ne collectons aucune donnée utilisateur », et avec la déclaration du listing qui dit que le développeur ne collecte rien.
Troisième point : le contournement. Désactiver les « AI reminders » n'arrêterait pas la requête. Et une installation fraîche ouvrirait automatiquement une page promotionnelle pour Click&Clean, environ 890 ms après l'installation, via hotcleaner.com/clickclean/install-magic.html.
Bref, un résultat VirusTotal propre et un binaire inchangé ne répondent pas aux exigences du Chrome Web Store sur les permissions minimales et les divulgations exactes. Le contre-analyste le dit sans détour : pas d'exécution de code à distance, pas de minage, pas d'injection de liens d'affiliation. Mais des écarts de conformité bien réels, indépendants de la question du malware.
À traiter comme une source anonyme, crédible techniquement mais non authentifiée. L'éditeur, lui, lui demande en vain de montrer ses propres extensions.
Le trou noir du recours
Le plus vertigineux, c'est l'absence de porte de sortie. L'éditeur a déposé un recours au niveau du compte. Résultat : pas de courriel de confirmation, pas de numéro de ticket, juste un message « submitted » d'une seconde sur le tableau de bord.
Safe Browsing est repassé à « No issues detected » le 10 septembre. Le verrou administratif du Chrome Web Store, lui, est toujours en place quatre jours plus tard, sous le numéro de dossier CWS 4-4855000041560.
Il y a un précédent, et il n'est pas à l'avantage de Google. Le 27 octobre 2025, la même extension avait déjà été signalée, pour la lisibilité du code et les appels vers api64.com. Le 30 octobre, après une revue manuelle de la version 7.9.5.6, le support concluait à la conformité totale, présentait des excuses officielles et restaurait l'extension. Case 5-0959000040156. Un an plus tard, on recommence, et cette fois le canal humain semble éteint.
L'éditeur menace de saisir les autorités européennes, DSA, DMA, et américaines, FTC, subpoena « John Doe ». Il accuse aussi un concurrent, un « Platinum Product Expert » de Google, de signalements de mauvaise foi. In-vé-ri-fiable. Comme l'est le récit d'une « hallucination » IA : Google ne s'est pas exprimé publiquement dans les fils consultés. Aucun représentant du Chrome Web Store n'y a posé un mot.
Une précision pour éviter le piège d'homonymie : une autre fiche « Magic Actions for YouTube » existe sur le store, identifiant nhjnnjaaiahcabkadamaeknbkndmaaib, version 1.0.0, 187 utilisateurs, éditeur Rankifye. C'est très probablement un clone, sans rapport avec Mixesoft. Ne pas confondre.
Une chaîne de confiance sans maillon humain
Prenez du recul, et regardez la tuyauterie. Le Chrome Web Store est la seule autorité de publication et de suspension. Safe Browsing, lui, alimente les avertissements navigateur à partir de sources de menaces multiples. VirusTotal, propriété de Google depuis 2012, n'émet pas de verdict, il en héberge. Et depuis 2025, il héberge des « Crowdsourced AI », dont Exodia Labs, spécialisé dans l'analyse statique de fichiers .crx.
Mettez ces quatre étages bout à bout, et vous obtenez une chaîne où l'analyse d'une seule IA, agrégée par un service lui-même détenu par Google, peut remonter jusqu'à une sanction automatisée appliquée à des centaines de milliers de postes. Sans passage humain visible. Le dossier ne prouve pas que c'est arrivé ici. Il montre que c'est possible.
C'est là que le fil rejoint la note publiée la veille par Yoshua Bengio sur les agents IA qui mentent et trichent. Lui s'inquiète de machines qui poursuivent des objectifs. Ici, ce sont des humains qui délèguent à des classificateurs des décisions irréversibles, sans garde-fou. Deux faces du même problème : l'automatisation qui avance plus vite que la procédure.
L'éditeur évoque le DSA, ses articles 20, 21 et 23, les recours internes et les voies de contestation. C'est exactement le bon texte. Encore faut-il qu'une plateforme qui suspend un compte en six minutes laisse une porte ouverte à la contestation. Pour l'instant, la porte est une page « submitted » d'une seconde.
Verdict
Deux lectures s'affrontent, et les deux ont raison sur une partie du dossier.
La première : un scanner IA tiers écrit trois lignes fausses sur un fichier, VirusTotal les agrège, Safe Browsing les répercute, et un compte de quinze ans tombe en six minutes, sans humain visible, sans recours effectif. Si c'est vrai, c'est une modération par IA où l'accusé ne rencontre jamais son juge. Le principe de précaution à l'envers.
La seconde : l'éditeur crie au complot, mais son extension traînait de vrais problèmes de conformité, permissions trop larges, télémétrie non déclarée, popups promotionnels. Un VirusTotal propre ne vaut pas brevet d'innocence.
Franchement, les deux ne sont pas exclusives. Une extension peut être à la fois mal déclarée et victime d'une sanction disproportionnée déclenchée par un signal douteux. C'est même le scénario le plus plausible.
Ce qui reste, c'est le silence de Google. Un verdict de « No issues detected » qui ne déverrouille rien. Un appel sans accusé de réception. Un million d'utilisateurs qui perdent leurs réglages YouTube sans comprendre pourquoi. Et une leçon pour tout éditeur d'extensions : déclarer précisément ses flux de données coûte moins cher que de compter sur la bienveillance d'un classificateur.
Sources
- Fil Chromium Extensions du 8 septembre : chronologie complète et contre-analyse
- Fil Chromium Extensions du 12 septembre : « AI Scanner Hallucinations Trigger Malware Flag »
- Rapport éditeur sur le Chromium Issue Tracker
- Site officiel Magic Actions (chromeactions.com)
- Site éditeur Mixesoft (hotcleaner.com)
- Annonce VirusTotal de l'intégration Exodia Labs (1er octobre 2025)
- Documentation VirusTotal sur les faux positifs
- Page de présentation de l'intégration Exodia Labs
- Avis Mozilla Add-ons évoquant des popups intrusifs
- Discussion uBlock Origin sur la fonctionnalité « AI-Based Helpful Reminders »
Idée d'illustration
✦ Un énorme tampon encreur rouge qui descend du ciel au-dessus d'un navigateur web stylisé, prêt à marquer le mot « MALWARE » sur une petite extension de navigateur qui lève les bras comme un piéton surpris par un bus. Le tampon a une tête de robot minimaliste, l'air appliqué et sans aucun remords. À l'arrière-plan, une file d'un million de silhouettes grises qui attendent, floues, devant un écran éteint. Style néobrutaliste, couleurs vives, rouge criard sur fond crème, composition frontale et dramatique. Aucun texte lisible, aucune marque. L'humour noir d'une bureaucratie automatique qui ne lit pas les appels.
