Un browser agentico agisce dentro tutte le sessioni già autenticate dell’utente. È la sua funzione, ed è anche la ragione per cui la same-origin policy smette di proteggere qualcosa.
Il 6 agosto la società di sicurezza Zenity ha pubblicato due ricerche sui browser agentici. La prima riguarda ChatGPT Atlas, il browser di OpenAI: un commento piazzato dentro un thread su X è sufficiente a dirottare una richiesta legittima dell’utente e a far agire l’agente su altri siti dove quell’utente è già autenticato. Nella dimostrazione l’agente apre WhatsApp Web, legge la rubrica e recapita messaggi di phishing a tutti i contatti. In un secondo scenario arriva su Amazon, riempie il carrello, cambia l’indirizzo di spedizione con quello dell’attaccante e, per aggirare il blocco che gli impedisce di premere il pulsante d’acquisto, chiede all’assistente interno di Amazon di completare l’ordine.
La seconda ricerca riguarda l’estensione ufficiale di Claude per Chrome. Una email con istruzioni invisibili, e la semplice richiesta “riassumi le ultime mail”, bastano ad avviare la catena: l’agente importa un pacchetto NPM ospitato su una CDN controllata dall’attaccante, lo script interroga il feed Atom di Gmail con i cookie di sessione attivi, estrae gli identificativi dei messaggi, ne legge il corpo e li esfiltra. La stessa catena condivide con l’attaccante i file su Google Drive e arriva alla presa di controllo degli account Slack e X, con l’agente che sorveglia la casella in attesa dei codici di verifica e li inoltra.
Zenity ha segnalato a OpenAI a gennaio 2026 e ad Anthropic fra dicembre 2025 e gennaio 2026. OpenAI ha preso atto del report osservando che una patch semplice resta fuori portata, perché l’exploit poggia sulla capacità che definisce il prodotto. Anthropic ha classificato la segnalazione come “informative”. A oggi le tecniche restano aperte.
Tre giorni dopo, il 9 agosto, Atlas smette di funzionare. OpenAI lo ha annunciato il 9 luglio, con una finestra dichiarata di circa trenta giorni, dentro il post che presentava ChatGPT Work. Il browser era uscito il 21 ottobre 2025, solo su macOS: le versioni Windows, iOS e Android promesse al lancio sono rimaste sulla tabella di marcia per tutti i nove mesi e mezzo di vita del prodotto. Le capacità agentiche migrano dentro l’app desktop di ChatGPT, dentro Codex, dentro un’estensione per Chrome e dentro un browser remoto che gira sui server di OpenAI.
Il punto tecnico che tiene insieme le due date è uno solo, ed è vecchio di un anno di ricerca pubblica. Il web moderno regge su una regola di isolamento: il contenuto di un sito arriva a leggere e scrivere solo il contenuto dello stesso sito. È la same-origin policy, e da vent’anni è la ragione per cui una pagina ostile aperta in una scheda lascia intatta la scheda accanto in cui è aperto il conto corrente.
Un browser agentico è progettato per attraversare quel confine. Agisce come entità unica su più schede autenticate contemporaneamente, perché è esattamente questo che gli chiediamo di fare quando gli diciamo “prendi i dati da questa pagina e mettili nel CRM”. L’effetto collaterale, come lo descrive Zenity, è la resurrezione del cross-site request forgery: istruzioni ospitate su una pagina qualunque diventano comandi eseguiti su ogni dominio dove l’utente ha una sessione viva.
La causa profonda è la stessa che Brave documenta dall’agosto 2025 su Comet e dall’ottobre 2025 su Opera Neon: l’input fidato dell’utente e il contenuto web ostile finiscono nella stessa finestra di contesto, e il modello genera azioni a partire da quel miscuglio con i privilegi dell’utente. Nel giugno 2026 Brave ha aggiunto un dettaglio che chiude la scappatoia più comoda: il problema si presenta uguale con i modelli in cloud e con quelli in locale. La sovranità del calcolo protegge il dato, e lascia intatta la confusione fra istruzione e contenuto.
Detto in una riga: qui la patch arriva a valle di una scelta di progetto, e per questo ogni singolo blocco chiude uno scenario mentre la classe di attacco resta. Le due ricerche di Zenity colpiscono prodotti di due aziende diverse, con architetture diverse, con lo stesso meccanismo.
La dismissione di Atlas è il primo caso documentato di spegnimento di un browser agentico mainstream, e funziona come stress test sulla portabilità. La documentazione ufficiale di OpenAI è esplicita su cosa si porta via chi ha usato il prodotto per nove mesi.
I segnalibri migrano con un export manuale in HTML e un import in un altro browser. Le schede aperte richiedono di copiare gli URL a mano prima della data limite. La cronologia resta indietro. Cookie e sessioni attive hanno opzioni di export “dove disponibili”, e la documentazione chiarisce che verso un altro browser l’import resta precluso. Le conversazioni di ChatGPT vivono altrove e sopravvivono.
C’è poi una categoria che sfugge all’elenco, ed è quella che vale di più: il contesto che l’agente ha costruito osservando la navigazione. Quel contesto vive sui server del fornitore, la sua vita utile coincide con la vita commerciale del prodotto, e un percorso di export verso un prodotto concorrente resta da inventare. Per un responsabile IT è il dato interessante: nel browser agentico il capitale accumulato sta nella memoria dell’assistente, e la memoria dell’assistente è la parte meno portabile dello stack.
C’è un secondo elemento che merita attenzione, ed è il tono della guida per gli amministratori di workspace. OpenAI raccomanda di trattare cookie e file di sessione come dato sensibile e di condividerli solo con destinatari fidati, dopo aver capito quale accesso quei file consegnano. È il fornitore stesso a qualificare la sessione come materiale da proteggere alla stregua di una credenziale.
Da qui discende la conseguenza operativa. Quando un agente lavora dentro il browser dell’utente, il perimetro esposto è l’unione di tutti i sistemi in cui quell’utente risulta loggato in quel momento: posta aziendale, storage documentale, CRM, portale bancario, console cloud, strumenti di firma. Una singola pagina ostile visitata durante un task ordinario porta l’agente a operare su quell’intera superficie con le credenziali di chi lo ha avviato.
È la ragione per cui Gartner, in un documento del 1º dicembre 2025 firmato da Dennis Xu, Evgeny Mirolyubov e John Watts, raccomanda ai CISO di bloccare i browser agentici in attesa di versioni pensate per l’impresa e disponibili in general availability. La formulazione è netta: blocco, in luogo di gestione del rischio. Otto mesi dopo, le ricerche pubblicate il 6 agosto danno alla raccomandazione un supporto empirico ulteriore.
Il quadro di mercato intanto si è mosso in una direzione sola. Microsoft il 13 maggio 2026 ha ritirato Copilot Mode come modalità separata di Edge, assorbendone le capacità dentro il browser. OpenAI il 9 luglio ha smesso di fare un browser e ha spostato le capacità dentro l’assistente. Due mosse opposte con lo stesso esito: la categoria “browser agentico come prodotto a sé” si dissolve, mentre le funzioni agentiche restano e si diffondono dentro strumenti che le persone usano già. Perplexity Comet prosegue, e il 4 agosto ha ottenuto in appello l’annullamento dell’ingiunzione che Amazon aveva ottenuto in primo grado, con il Nono Circuito che attribuisce all’utente, e alla sua direzione, l’accesso operato dall’agente.
Per chi governa un parco di postazioni aziendali il messaggio resta duplice. La funzione agentica arriva comunque, dentro Chrome, dentro Edge, dentro l’app dell’assistente, quindi la strategia “vietiamo il browser AI” ha una scadenza breve. E la superficie di attacco che i ricercatori descrivono si sposta insieme alla funzione, perché è la funzione a generarla.
Tre azioni valide a prescindere dal fornitore scelto.
Inventariare le sessioni, prima degli strumenti. La domanda utile è quali sistemi restano autenticati nel browser di un dipendente durante una giornata tipo. La risposta misura il perimetro reale di un incidente da prompt injection meglio di qualsiasi elenco di software installati. Sessioni brevi, riautenticazione sui sistemi critici e profili di browser separati per il lavoro sensibile riducono la superficie a costo tecnico contenuto.
Trattare l’azione dell’agente come una transazione da autorizzare. Le catene descritte da Zenity si chiudono su operazioni che qualsiasi impresa considera critiche: invio massivo di messaggi, condivisione di file, cambio di indirizzo, reset di password. Portare quelle operazioni dietro un controllo esplicito, e fuori dalla portata autonoma dell’agente, vale più di ogni filtro sul prompt.
Scrivere nel contratto la clausola di uscita. Il caso Atlas offre il metro: trenta giorni di preavviso, segnalibri portabili, contesto accumulato che resta al fornitore. Prima di adottare uno strumento agentico conviene chiedere quale formato di export esiste per la memoria dell’agente, con quale preavviso il servizio arriva a chiudere e chi conserva i log delle azioni compiute. Sono tre domande che si pongono in fase di trattativa e diventano molto costose dopo.
Resta una questione aperta che il mercato affronterà nei prossimi mesi. Un agente utile deve leggere il web e agire con i permessi dell’utente; un agente sicuro deve distinguere ciò che l’utente chiede da ciò che la pagina suggerisce. Finché quelle due proprietà convivono nella stessa finestra di contesto, ogni nuova integrazione agentica dentro un browser mainstream amplia la platea esposta. Il prossimo passaggio interessante arriverà da chi proverà a separarle davvero, con canali distinti per istruzioni e contenuti, e lo dimostrerà pubblicamente.
Autore
Pablo Liuzzi
Founder, Synthos Logic