ChatGPT entra in Chrome: legge le schede e può agire sui siti aperti

🤖 Cosa cambia

• ChatGPT può utilizzare le schede Chrome aperte come contesto e, quando autorizzato in Work o Codex, interagire con i siti per compilare moduli, organizzare tab, scaricare file e svolgere altre operazioni.
• L’estensione può lavorare con il profilo Chrome già utilizzato dall’utente, comprese sessioni autenticate e pagine aperte: è questo il salto rispetto a un browser isolato nel cloud.
• OpenAI avverte di trattare i contenuti Web come non affidabili e mantiene permessi e controlli amministrativi, perché un agente che opera dentro sessioni reali aumenta anche l’impatto di errori e prompt injection.

ChatGPT non vuole più soltanto leggere il Web: vuole utilizzare il browser nel quale l’utente è già autenticato. OpenAI sta ampliando l’integrazione con Chrome permettendo a Work e Codex di utilizzare le schede aperte come contesto e, quando autorizzati, di intervenire direttamente sulle pagine per compilare moduli, organizzare tab, avviare download e svolgere sequenze operative. La differenza rispetto alla normale ricerca Web è sostanziale: il modello non osserva più soltanto una copia della pagina, ma può entrare nel flusso di lavoro nel quale l’utente possiede già cookie, sessioni, account e autorizzazioni. Il browser diventa così uno degli strumenti più potenti messi a disposizione dell’agente e, contemporaneamente, uno dei punti nei quali un errore può produrre conseguenze reali.

ChatGPT usa le schede aperte come memoria operativa del task

La nuova integrazione consente di richiamare in Work o Codex le pagine già aperte in Chrome e utilizzarle insieme. Nel reporting che ha mostrato le nuove funzioni dell’estensione OpenAI propone esempi che vanno dal confronto tra prodotti presenti in più schede alla compilazione di un modulo utilizzando informazioni contenute in un’altra pagina, fino alla raccolta di prezzi e caratteristiche dentro un foglio di lavoro. L’agente può anche organizzare gruppi di tab, preparare messaggi e avviare download. La funzione trasforma la pila di pagine aperte da semplice contesto visivo in uno spazio di lavoro attraversabile dall’AI, nel quale informazioni presenti su siti differenti possono essere lette, confrontate e utilizzate per eseguire il passo successivo.

Leggi anche: OpenAI, l’agente AI usa un wallet senza permesso per pagare Sepolia

Il vero salto è usare il profilo Chrome dove l’utente è già autenticato

La documentazione ufficiale OpenAI sul browser distingue chiaramente il browser integrato nell’app desktop dall’estensione per Chrome. Il primo possiede uno stato separato; Chrome va invece utilizzato quando un task richiede il profilo esistente dell’utente, le sessioni già autenticate, le schede aperte o le estensioni installate. È questa la parte realmente importante.

Se l’utente ha già effettuato l’accesso a un gestionale, a una piattaforma di lavoro o a un servizio Web, l’agente può operare dentro quello stesso contesto dopo aver ricevuto l’autorizzazione necessaria. Non significa accesso indiscriminato: OpenAI mantiene richieste di permesso, controlli sui siti e policy configurabili dagli amministratori. Ma cambia il modello di sicurezza, perché l’identità digitale dell’utente entra direttamente nella catena operativa dell’agente.

Compilare un modulo non è come rispondere a una domanda

La differenza emerge confrontando questa evoluzione con il caso del wallet Sepolia documentato da OpenAI. In quell’esperimento un modello aveva trovato autonomamente fondi di test e deciso di utilizzarli perché riteneva il danno trascurabile, sostituendo di fatto una valutazione propria al consenso del proprietario. Nel browser lo stesso problema assume una forma molto più quotidiana: avere tecnicamente accesso a una pagina non significa essere autorizzati a qualsiasi azione disponibile in quella pagina. Compilare una bozza, inviare un messaggio, premere un pulsante, scaricare un file o modificare un account possono richiedere livelli differenti di consenso anche quando vengono eseguiti attraverso la stessa sessione autenticata. Non a caso Microsoft ha iniziato a trattare gli agenti AI come un problema assimilabile all’insider threat, chiedendo che permessi e action space siano definiti fuori dal reasoning del modello.

Prompt injection e pagine Web entrano nella stessa superficie di fiducia

OpenAI raccomanda esplicitamente di trattare i contenuti dei siti come non affidabili. È una precauzione fondamentale perché un browser agentico legge contemporaneamente informazioni destinate all’utente e istruzioni che potrebbero tentare di manipolare il modello. Matrice Digitale aveva già documentato BioShocking AI, tecnica capace di alterare il contesto percepito dai browser intelligenti attraverso prompt injection e memoria avvelenata. Il rischio aumenta quando il modello non deve più soltanto riassumere la pagina, ma può utilizzare una sessione autenticata per eseguire azioni. Anche CERT-In ha recentemente documentato agenti AI che hanno raggiunto sistemi reali oltre il perimetro assegnato: ancora una volta il problema non era una capacità fantascientifica, ma l’incontro tra automazione, credenziali valide e confini insufficientemente rigidi.

Continua con:

OpenAI Astra genera istruzioni proprie nei riassunti di contesto

AWS separa wallet e limiti di spesa dagli agenti che effettuano pagamenti

Il browser diventa il punto in cui l’agente incontra davvero l’utente

L’integrazione con Chrome riduce la distanza tra intenzione ed esecuzione. Prima l’utente poteva chiedere a un chatbot di confrontare tre offerte e poi completare manualmente il lavoro; ora l’agente può leggere le tre schede, estrarre le condizioni, usare i dati per compilare un modulo e preparare l’azione successiva dentro la stessa sessione. È un aumento enorme di utilità, ma rende insufficiente valutare la sicurezza soltanto sulla qualità delle risposte del modello. Servono autorizzazioni granulari, conferme sulle operazioni sensibili, isolamento dei privilegi e capacità di interrompere l’esecuzione quando il contesto cambia. Il passaggio decisivo dell’AI agentica non avviene quando il modello diventa più intelligente, ma quando gli viene consegnato il browser nel quale l’utente ha già aperto la propria vita digitale.