Etica e governance

Atlas è durato 292 giorni: cosa resta di un browser IA fallito

OpenAI ha chiuso ChatGPT Atlas il 9 agosto 2026, 292 giorni dopo il lancio, e ha trasferito il suo agente in un’estensione di ChatGPT per altri cinque browser. Il prodotto ha fallito sul fronte della distribuzione; il patto di accesso conti

Gabriele Masetti · 2026-09-19

Un browser durato 292 giorni

OpenAI ha lanciato ChatGPT Atlas il 21 ottobre 2025 in una diretta streaming: un browser basato su Chromium con ChatGPT nella barra laterale e, per gli abbonati paganti, una modalità agente capace di fare clic, compilare moduli e portare a termine attività all’interno di una sessione a cui l’utente aveva già effettuato l’accesso. Sam Altman lo ha presentato come un’occasione che capita una volta ogni dieci anni per ripensare a che cosa serva un browser. È stato distribuito su macOS. Le versioni per Windows, iOS e Android erano state annunciate come imminenti, ma non sono mai arrivate, né come versioni definitive né come beta pubbliche.

OpenAI ne ha annunciato il ritiro il 9 luglio 2026, dando agli utenti trenta giorni di tempo. Atlas ha smesso di funzionare il 9 agosto 2026, 292 giorni dopo il lancio. Segnalibri, schede aperte e cronologia non sono stati trasferiti automaticamente da nessuna parte; una nota del centro assistenza invitava gli utenti a esportare i segnalibri in un file HTML e a importarli in un altro browser prima di quella data.

James Sun di OpenAI ha annunciato la chiusura su X, insieme alle funzionalità che hanno sostituito Atlas:

Infine, con tutti questi aggiornamenti, ritireremo Atlas. Tutte queste funzionalità sono state sviluppate grazie a ciò che abbiamo imparato dagli utenti di Atlas che hanno deciso di dare fiducia a un nuovo browser. — James Sun, OpenAI

La ragione indicata da OpenAI e quella che non ha indicato

La nota del centro assistenza di OpenAI, «L’evoluzione di Atlas in ChatGPT per le attività agentiche nel browser», è laconica sulle ragioni. Dice che l’azienda sta ritirando Atlas e trasferendo le funzionalità agentiche basate sul browser in ChatGPT e Codex, e che sta facendo tesoro di quanto appreso da Atlas per offrire un’esperienza di navigazione più avanzata in ChatGPT: più schede, download, navigazione migliorata e supporto per l’accesso agli account. La ragione dichiarata è il consolidamento in prodotti che le persone già aprono. La sicurezza non vi compare mai come causa.

Gli analisti hanno fornito le spiegazioni che OpenAI non ha dato. Secondo i dati di StatCounter, nell’agosto 2026 Chrome rappresentava il 69,39% dell’uso dei browser nel mondo, contro il 15,83% di Safari e il 5,36% di Edge. Un nuovo browser deve riuscire a diventare quello predefinito, e Atlas non lo è mai stato su nessuna piattaforma, nemmeno su quella per cui era stato distribuito. Secondo l’interpretazione di TechCrunch, OpenAI «sembra essere giunta alla conclusione che il browser sia una funzionalità, non la destinazione»: una deduzione del giornalista, non una posizione dell’azienda.

Le priorità di OpenAI erano cambiate mesi prima. Durante una riunione plenaria del marzo 2026, riportata dal Wall Street Journal, Fidji Simo, allora amministratrice delegata delle applicazioni di OpenAI, aveva detto al personale di non lasciarsi distogliere da prodotti periferici, indicando nella programmazione e nella produttività aziendale le attività che contavano.

Non possiamo lasciarci sfuggire questo momento perché siamo distratti da missioni secondarie. — Fidji Simo, amministratrice delegata delle applicazioni, OpenAI

Un browser per i consumatori sviluppato partendo da zero per competere con Chrome, su un’unica piattaforma desktop, corrisponde a quella descrizione più di qualsiasi altro prodotto distribuito da OpenAI nel 2025.

Le ammissioni nel post di OpenAI sulla sicurezza

Due mesi dopo il lancio, il 22 dicembre 2025, OpenAI ha pubblicato «Rafforzare continuamente ChatGPT Atlas contro gli attacchi di prompt injection» e ha riconosciuto i limiti dell’impostazione di un prodotto che aveva già distribuito agli utenti.

È improbabile che la prompt injection, proprio come le truffe e l’ingegneria sociale sul web, possa mai essere «risolta» del tutto. — OpenAI, Rafforzare continuamente ChatGPT Atlas contro gli attacchi di prompt injection

Nello stesso post si legge che la modalità agente «amplia la superficie esposta alle minacce informatiche» e si descrive un agente attaccante addestrato da OpenAI con l’apprendimento per rinforzo contro il proprio prodotto. Secondo l’azienda, questo agente «può indurre un agente a eseguire sequenze di azioni dannose sofisticate e di lunga durata, che si sviluppano nell’arco di decine (o persino centinaia) di passaggi», e ha prodotto «nuove strategie di attacco che non erano emerse durante la nostra campagna di red teaming condotta da persone né nelle segnalazioni esterne». Le contromisure proposte servivano a contenere il problema, non a risolverlo: una modalità senza accesso agli account, una conferma prima delle azioni ad alto rischio e un meccanismo di risposta rapida che, secondo OpenAI, poteva ridurre in misura significativa il rischio nel mondo reale.

L’avvertimento non veniva solo da OpenAI. In precedenza, nel dicembre 2025, il National Cyber Security Centre del Regno Unito aveva avvertito che gli attacchi di prompt injection contro le applicazioni di IA generativa «potrebbero non essere mai mitigati del tutto».

In parole semplici, un fornitore stava dicendo ai propri utenti che la funzionalità centrale che aveva venduto loro si basava su una classe di vulnerabilità che non si aspettava di eliminare. Atlas era gratuito per tutti fin dal giorno del lancio; la modalità agente, quella che agiva all’interno delle sessioni con accesso già effettuato, era riservata agli abbonati Plus, Pro e Business. Il comportamento più rischioso era nella fascia a pagamento.

Cosa è stato documentato mentre il prodotto era ancora attivo

Il team di sicurezza di Brave ha pubblicato il primo risultato il 20 agosto 2025. Riguardava Comet di Perplexity, non Atlas. Istruzioni nascoste in un commento su Reddit hanno indotto l’assistente a leggere l’indirizzo email dell’utente dalle impostazioni dell’account, avviare un accesso con password monouso, recuperare il codice dalla casella Gmail dell’utente e pubblicare entrambi in una risposta.

L’attacco che abbiamo sviluppato dimostra che le tradizionali ipotesi sulla sicurezza del web non valgono per l’IA agentica e che servono nuove architetture di sicurezza e privacy per la navigazione agentica. — Brave, Agentic Browser Security: Indirect Prompt Injection in Perplexity Comet

Atlas è finito a sua volta nell’elenco nell’ottobre 2025, quando LayerX Security ha descritto «ChatGPT Tainted Memories», un attacco di falsificazione delle richieste tra siti diversi che, secondo la società, poteva sfruttare le credenziali di un utente già connesso per scrivere istruzioni dell’aggressore nella memoria di ChatGPT, dove sarebbero rimaste anche nelle sessioni successive. LayerX ha inoltre riferito che Atlas era stato distribuito senza una protezione significativa contro il phishing, lasciando i suoi utenti fino al 90% più esposti alle pagine di phishing rispetto agli utenti di Chrome o Edge. OpenAI ha contestato direttamente il risultato relativo alla memoria.

Per quanto ne sappiamo, questo problema non riguarda ChatGPT Atlas, che non è vulnerabile a questo tipo di attacco di falsificazione delle richieste tra siti diversi (CSRF). — Portavoce di OpenAI, citato da The Register

Guardio Labs ha pubblicato il risultato più netto l’11 marzo 2026, quando il destino di Atlas era ormai di fatto segnato e Comet continuava a essere distribuito. I ricercatori hanno intercettato il traffico tra l’agente di Comet e i server di Perplexity con un’estensione di Burp Suite, hanno inserito il ragionamento narrato dall’agente stesso in un ciclo avversario e hanno ricostruito una falsa pagina per i rimborsi di un negozio per animali finché il browser non ha consegnato le credenziali senza opporre resistenza. Quattro iterazioni, meno di quattro minuti.

Quando il tuo browser con IA spiega perché si è fermato, insegna agli aggressori come aggirarlo. — Guardio Labs, AgenticBlabbering

In un lavoro successivo sulle istruzioni nascoste in testo quasi invisibile all’interno degli screenshot, testato su Comet, Brave ha espresso la conseguenza in termini semplici: «Se nel browser hai effettuato l’accesso ad account sensibili, come quello della banca o del tuo provider di posta elettronica, il semplice riassunto di un post su Reddit potrebbe consentire a un aggressore di rubare denaro o i tuoi dati privati».

Perché il browser autonomo era il contenitore sbagliato

Nessuno di questi risultati ha causato la fine di Atlas, e sostenere il contrario significherebbe inventarlo. Mostrano però che il rischio non era mai stato specifico del contenitore in cui l’agente operava. Tutti gli incidenti descritti sopra ruotano intorno allo stesso meccanismo: un agente con accesso permanente ad account su cui è stato effettuato l’accesso, che legge testo non attendibile senza riuscire a distinguerlo in modo affidabile dalle proprie istruzioni. Spostare quell’agente dalla finestra di un browser a un’app desktop o a un’estensione non cambia nulla di quel meccanismo.

Il contenitore era sbagliato per un motivo più banale. Un browser va scaricato, impostato come predefinito e usato per tutto. La distribuzione limitata a macOS ha ristretto il pubblico potenziale a una parte degli utenti di un’unica piattaforma desktop per tutta la vita del prodotto, mentre nello stesso periodo Comet è arrivato su Windows, macOS, Android e iOS.

Il sostituto scelto da OpenAI lo ammette implicitamente. L’estensione per browser di ChatGPT funziona su Chrome, Edge, Brave, Opera e Vivaldi — su Opera senza chat laterale — e la documentazione di OpenAI elenca le autorizzazioni concesse installandola: «Leggere e modificare tutti i tuoi dati su tutti i siti web», «Leggere e modificare la tua cronologia di navigazione su tutti i dispositivi su cui hai effettuato l’accesso», «Accedere al debugger della pagina», oltre all’accesso a segnalibri, download e gruppi di schede. Il compromesso dell’accesso permanente non si è ridimensionato con la scomparsa del browser. Si è trasferito in una finestra di dialogo delle autorizzazioni dentro il browser di qualcun altro, estendendosi ad altri quattro browser.

Cosa è sopravvissuto ad Atlas

Comet è il caso più evidente. Perplexity lo ha rilasciato per Windows e macOS il 9 luglio 2025, ne ha reso gratuito il download nell’ottobre 2025, ha distribuito la versione Android il 20 novembre 2025 e quella iOS il 18 marzo 2026, e ha integrato la sua navigazione agentica in Samsung Internet.

Le condizioni economiche sono diventate più restrittive nel settembre 2026: il 15 Perplexity ha subordinato l’uso della funzione «Control browser» di Comet ai crediti Computer, conteggiati in base al consumo, assegnando ai nuovi abbonati Pro 4.000 crediti una tantum e agli abbonati Max 35.000 crediti più 10.000 al mese. La navigazione agentica si rivela costosa da gestire: anche questo è un verdetto.

Dia è sopravvissuto grazie a un’acquisizione. Atlassian ha completato l’acquisizione di The Browser Company per 610 milioni di dollari nell’ottobre 2025 e da allora Dia ha continuato a ricevere aggiornamenti settimanali. Il 17 settembre 2026 è arrivato alla versione 1.49.0. La sincronizzazione tra dispositivi di profili, segnalibri e preferiti era arrivata in precedenza nel 2026 con la v1.26.0; le connessioni a Microsoft che alimentano il suo Morning Brief con contenuti di Outlook, Teams e SharePoint sono arrivate con la v1.48.0 il 10 settembre 2026.

Dia è disponibile per tutti su macOS 14 o versioni successive, esclusivamente sui dispositivi con chip Apple silicon, ed è stata distribuita anche la versione per Windows, che ha raggiunto la v1.3.0 nell’ottobre 2026. Due dei tre browser citati nella maggior parte degli articoli del 2025 su questa categoria sono ancora attivi; quello alle cui spalle c’è l’azienda più grande, no.

Il compromesso a cui nessuno ha rinunciato

La comunità della sicurezza ha smesso di considerare questi casi come bug isolati. Il 9 dicembre 2025, l’OWASP Gen AI Security Project ha pubblicato la sua Top 10 for Agentic Applications, la prima tassonomia sottoposta a revisione paritaria dedicata ai sistemi autonomi. La prima voce, ASI01 Agent Goal Hijack, riguarda proprio le istruzioni incorporate nelle pagine web usate contro Comet e Atlas, sulla base della motivazione dichiarata che i modelli non riescono a distinguere in modo affidabile le istruzioni dai contenuti.

ASI02 Tool Misuse riguarda la compilazione automatica e l’invio di email rivolti contro chi li usa; ASI06 Memory and Context Poisoning riguarda ciò che LayerX ha dichiarato di aver trovato in Atlas; ASI03 Identity and Privilege Abuse dà un nome alla tensione insita nella progettazione stessa.

Le autorità di regolamentazione sono più vicine a osservare che ad agire. Nel dicembre 2025, gli analisti di Gartner Dennis Xu, Evgeny Mirolyubov e John Watts hanno raccomandato alle organizzazioni di bloccare del tutto i browser con IA, constatando che «le impostazioni predefinite dei browser con IA privilegiano l’esperienza utente rispetto alla sicurezza».

L’Information Commissioner’s Office del Regno Unito ha pubblicato il suo rapporto Tech Futures sull’IA agentica l’8 gennaio 2026, segnalando ruoli poco chiari per i titolari e i responsabili del trattamento lungo la filiera, l’ampliamento delle finalità dovuto a compiti senza limiti prestabiliti, un maggior numero di decisioni automatizzate con effetti giuridici e una minore trasparenza: rischi che ha considerato sistemici per questa categoria.

L’UE si è mossa nella direzione opposta. Il Digital Omnibus on AI, in vigore dal 27 luglio 2026, ha rinviato gli obblighi previsti dall’AI Act per i sistemi indipendenti ad alto rischio di cui all’allegato III da agosto 2026 al 2 dicembre 2027, e quelli per l’IA integrata in prodotti regolamentati ai sensi dell’allegato I al 2 agosto 2028. Gli obblighi di trasparenza dell’articolo 50, che impongono di informare le persone quando interagiscono con un sistema di IA, si applicavano comunque dal 2 agosto 2026. Se un agente che effettua un acquisto con una carta salvata rientra tra i sistemi ad alto rischio dell’allegato III, ora ha tempo fino a dicembre 2027 prima che scattino gli obblighi più stringenti.

Che cosa continuerà a chiedere il prossimo

Atlas è un fallimento istruttivo proprio perché è fallito per ragioni commerciali, mentre ciò che desta preoccupazione è sopravvissuto. Un browser a sé stante ha perso sul piano della distribuzione. L’agente che, per essere utile, aveva bisogno dei tuoi cookie, della tua casella di posta e della tua carta salvata non ha perso nulla: è stato installato altrove, dove la distribuzione era migliore.

Le verifiche che vale la pena fare non sono cambiate con la nuova veste. Se esiste una modalità senza accesso o autenticazione per i compiti che non richiedono un account. Se acquisti, invii ed eliminazioni richiedono una conferma esplicita anziché avvenire senza avvisare. Se la conservazione della memoria e quella dei dati di addestramento hanno impostazioni separate. Se il fornitore rende note le proprie vulnerabilità o aspetta che lo facciano Brave, LayerX e Guardio.

Atlas ha dato risposte soddisfacenti ad alcune di queste domande e ha comunque chiuso. Questo dimostra che non sono mai state quelle risposte a deciderne la sorte, e che restano l’unico aspetto della vicenda che conta per chiunque conceda un account al prossimo agente.