// TOM'S HARDWARE ITALIA — INTELLIGENZA ARTIFICIALE
Claude Cowork si apre un browser tutto suo, isolato dal tuo (ma non blindato)
Il 26 agosto 2026 Anthropic ha annunciato un nuovo browser integrato per Claude Cowork, separato da quello personale di chi lo usa: «non è il tuo browser, è quello di Claude», scrive l'azienda nel post che descrive la novità. Da quel giorno lo strumento apre le pagine al suo interno, e schede, preferiti e password restano fuori prima ancora che qualcuno apra un'impostazione. In teoria questo dovrebbe aiutare, proprio perché nel browser principale di ognuno di noi ci sono informazioni sensibili, e condividerle con un LLM potrebbe non essere la migliore delle idee.
Un agente che naviga al posto di chi lo usa vede quello che vede il browser in cui gira: le schede aperte, le sessioni già autenticate, i moduli compilati a metà. Se quel browser è lo stesso con cui si controlla la posta o si accede alla banca, l'agente eredita tutto quell'accesso insieme al compito assegnato. È il rischio che diventi un browser ingannato, trasformandosi in una porta d'accesso per malintenzionati.
Anthropic scrive che Claude resta cieco alle schede, ai segnalibri e alle password dell'utente: l'agente lavora dentro un ambiente separato, senza eredità automatica di sessioni aperte altrove sulla stessa macchina. Restano esclusi per impostazione predefinita i siti bancari, la posta elettronica e i portali di accesso unico (single sign-on), le tre categorie dove un accesso indesiderato costa di più.
L'importazione dei cookie resta possibile, ma sito per sito: chi vuole che l'agente lavori già autenticato su un servizio specifico deve importarne la sessione in modo esplicito, una alla volta, senza sincronizzazione automatica col browser personale. Le sessioni create dentro l'ambiente Cowork restano poi disponibili sulla stessa macchina per i task successivi, e l'isolamento lascia intatta la comodità di restare autenticati da un giorno all'altro.
Il browser integrato è disponibile su desktop (macOS, Windows, e Linux in beta) per gli abbonamenti Pro, Max e Team, e da subito su Enterprise con controllo amministrativo attivo. È la versione Enterprise a fare la differenza più rilevante: un reparto IT può definire da un pannello unico quali categorie di siti restano escluse e quali permessi valgono per tutta l'organizzazione. Su Pro e Team lo strumento è identico, ma la configurazione ricade su chi lo usa, spesso senza il tempo per rivederla.
Anthropic descrive l'isolamento come un miglioramento parziale. In una ricerca pubblicata a fine 2025, l'azienda dichiara che il tasso di successo degli attacchi di prompt injection su Claude for Chrome è sceso a circa l'1%, dopo un ciclo di red teaming Best-of-N condotto con cento tentativi per ogni ambiente testato.
Un tasso all'1% è buono ma non ottimale, e il rischio resta, ed è la stessa Anthropic a scriverlo: un rischio così basso "rappresenta comunque un rischio significativo", perché su un volume alto di sessioni anche una probabilità piccola produce prima o poi un caso concreto. "Nessun agente da browser è immune alla prompt injection": lo ammette il fornitore stesso, con il proprio nome sotto la frase.
L'isolamento protegge le credenziali e le sessioni dell'utente. Decidere se eseguire un'istruzione nascosta dentro una pagina web è un problema diverso, che riguarda il contenuto letto dall'agente più che l'ambiente in cui legge. Cowork riduce il primo rischio, quello delle credenziali esposte; il secondo, quello dell'inganno, resta invece ancora aperto e irrisolto.
I tre grandi fornitori di agenti trattano il problema, ciascuno a modo suo. Google ha costruito per la navigazione agentica di Gemini in Chrome un meccanismo di permessi per sito, gli "Agent Origin Sets": ogni origine web viene classificata come sola lettura o lettura-scrittura, e l'agente può scrivere solo dove il permesso lo consente. OpenAI ha scelto la strada opposta all'isolamento separato: Atlas, il suo browser agentico standalone, ha smesso di esistere come prodotto a sé il 9 agosto 2026, e le sue funzioni sono confluite dentro ChatGPT.
Tr