AI News · industry
Agenti browser AI nel 2026: cosa è reale e cosa è rischioso
OpenAI ha ritirato il suo browser Atlas il 9 agosto. La vera azione si è spostata sugli agenti computer-use che operano direttamente sul software. Ecco come si classificano, cosa ancora sbagliano e la realtà sulla sicurezza che le aziende non possono ignorare.
OpenAI ha spento il suo browser dedicato ChatGPT Atlas il 9 agosto 2026, a meno di un anno dal lancio, e il messaggio dietro questa mossa è la vera notizia: il "browser AI" autonomo sta svanendo, mentre l'agente che opera sul software per tuo conto è il punto su cui il settore corre. Ad agosto 2026, i migliori modelli computer-use riescono a individuare un obiettivo su uno schermo professionale con una precisione vicina all'88%, eppure il migliore di essi porta ancora a termine solo circa un compito multi-step su cinque, dall'inizio alla fine. Gli agenti browser AI sono al tempo stesso genuinamente utili e genuinamente inaffidabili, e nel divario tra questi due fatti si gioca oggi ogni decisione di acquisto.
Questo articolo spiega cosa è cambiato nel 2026, come si classificano davvero gli agenti computer-use nel panorama globale, perché i numeri dei benchmark in prima pagina sopravvalutano ciò che riescono a fare e il problema di sicurezza che nessun fornitore ha risolto. Se gestisci un'azienda, la conclusione pratica è alla fine.
Cosa è successo ai browser AI nel 2026?
I browser AI sono stati il prodotto del momento nel 2025. Aziende grandi e piccole hanno provato a impossessarsi dell'interfaccia con cui le persone navigano il web, integrandovi un modello. Nel 2026 quella scommessa si è disfatta in fretta. OpenAI ha confermato che avrebbe ritirato Atlas e integrato le sue funzioni di navigazione nell'app desktop di ChatGPT, con il browser destinato a smettere di funzionare il 9 agosto (9to5Mac). The Browser Company è stata venduta ad Atlassian, e i browser AI-first rivali si sono consolidati o hanno cambiato direzione.
Il filo conduttore, come lo ha sintetizzato TechCrunch, è che "l'attenzione si è spostata su agenti e automazione" (TechCrunch). Un browser separato non è mai stato il punto. Il punto è un agente capace di leggere una pagina, cliccare, digitare e portare a termine un compito. Quella capacità viene ora integrata negli strumenti che le persone già usano, anziché venduta come un nuovo posto dove andare.
Il segnale della domanda è concreto. Gartner prevede che il 40% delle applicazioni aziendali sarà dotato di agenti AI specifici per compito entro la fine del 2026, in crescita dal meno del 5% del 2025 (Gartner). La domanda non è più se gli agenti arriveranno. È se ci si può fidare di affidare loro le chiavi.
Cos'è un agente computer-use e in cosa è diverso da un browser AI?
Un agente computer-use (a volte chiamato CUA) guida il software nel modo in cui lo fa una persona: cattura uno screenshot, decide dove cliccare o cosa digitare, agisce, poi guarda di nuovo. Un browser AI è uno dei veicoli di consegna di questa idea, un browser Chromium con un agente innestato. Ma l'agente sottostante può altrettanto facilmente funzionare all'interno di un'app desktop, di una sandbox cloud o di un sistema operativo.
La distinzione conta perché le due modalità di errore sono diverse. Un assistente di chat risponde a una domanda. Un agente computer-use compie un'azione, e un'azione ha conseguenze: può inviare un modulo, spostare denaro o cancellare un file. È anche per questo che questa categoria di agenti è un passo oltre gli agenti di shopping e di checkout di cui abbiamo parlato in commercio agentico nel 2026, ed è per questo che serve lo strato di governance che abbiamo descritto in cosa c'è di nuovo negli agenti AI nel 2026. La capacità senza controllo non è un prodotto. È una responsabilità.
Come si classificano oggi gli agenti computer-use?
Contano due benchmark, e misurano cose molto diverse. ScreenSpot Pro valuta il grounding: il modello riesce a puntare al pulsante, all'icona o al campo giusto in un'interfaccia professionale ad alta risoluzione? Non verifica se l'agente riesca a completare il flusso di lavoro circostante. Nell'istantanea pubblica di ScreenSpot Pro datata 11 agosto 2026, i leader erano vicini e il panorama era globale.
| Posizione | Modello | Laboratorio (paese) | Licenza | ScreenSpot Pro |
|---|---|---|---|---|
| 1 | Claude Opus 4.8 | Anthropic (USA) | Chiuso | 87.9% |
| 2 | GPT-5.4 | OpenAI (USA) | Chiuso | 85.4% |
| 3 | Qwen3.8 Max | Alibaba (Cina) | Chiuso | 84.5% |
| 4 | Gemini 3.1 Pro | Google (USA) | Chiuso | 84.4% |
| 5 | Muse Spark | Meta (USA) | Chiuso | 84.1% |
| 8 | Muse Glimmer 30B | Meta (USA) | Pesi aperti | 75.4% |
| 10 | Holo2-235B | H Company (Francia) | Pesi aperti | 70.6% |
| 13 | Qwen3.5 397B | Alibaba (Cina) | Pesi aperti | 65.6% |
| 15 | Nemotron 3 Nano Omni | NVIDIA (USA) | Pesi aperti | 57.8% |
Fonte: classifica BenchLM ScreenSpot Pro, istantanea datata 11 agosto 2026. Le classifiche si riordinano ogni mese.
Due elementi risaltano. Primo: tra i modelli valutati su ScreenSpot Pro all'11 agosto 2026, un modello chiuso statunitense, il Claude di Anthropic (Opus 4.8), guidava il grounding all'87.9%, ma i primi quattro erano racchiusi in quattro punti l'uno dall'altro, e un modello chiuso cinese, il Qwen3.8 Max di Alibaba, si classificava terzo, davanti a un modello di punta statunitense. Secondo: la fascia dei pesi aperti è concreta e mondiale: Muse Glimmer di Meta (USA), Holo2 di H Company (Francia), Qwen di Alibaba (Cina) e Nemotron di NVIDIA (USA) compaiono tutti, accanto alla stirpe open-source di agenti GUI di laboratori cinesi come UI-TARS di ByteDance e AutoGLM di Zhipu.
Leggi quella tabella come una classifica in movimento, non come una corona permanente. Entrambi i laboratori statunitensi hanno rilasciato modelli di punta più recenti dopo l'istantanea, Claude Opus 5 di Anthropic (24 luglio 2026) e GPT-5.6 di OpenAI (9 luglio 2026), e nessuno dei due è ancora valutato su ScreenSpot Pro, quindi il primato sul grounding va letto come "il migliore tra i modelli valutati finora", non come l'ultima parola. In questa istantanea la vetta è americana per un margine sottile, l'ampiezza è globale e la fascia aperta sta recuperando. Questo panorama si riordina ogni mese.
Perché i punteggi dei benchmark sopravvalutano ciò che questi agenti sanno fare
Il grounding è un prerequisito, non un traguardo. La domanda più difficile è se un agente completi un compito reale e multi-step, e la risposta onesta a metà 2026 è: di solito no.
Su OSWorld 2.0, un benchmark di flussi di lavoro a lungo orizzonte che richiedono in media circa 318 chiamate di strumenti per compito, il miglior sistema misurato ha portato a termine solo circa il 20.6% dei compiti dall'inizio alla fine, pur ottenendo il 54.8% quando venivano conteggiati i checkpoint parziali (analisi di TestMu AI). Qualsiasi valore tu veda nella fascia dal 50% al 70% su questa categoria di benchmark è quasi certamente un punteggio a checkpoint, non un completamento integrale. La stessa analisi segnala una seconda trappola: un punteggio OSWorld è di solito una stima da una singola esecuzione, e l'affidabilità non si può dedurre dal risolvere un compito una sola volta. Esegui lo stesso compito più volte e i tassi di completamento calano.
Anche il luogo in cui l'agente lavora conta. La stessa analisi riporta circa l'80% di successo sui compiti web contro circa il 35% sulle applicazioni desktop, quindi un agente che sembra capace in un browser è nettamente meno affidabile nel momento in cui lo abbandona. È esattamente per questo che l'"agente browser AI" è stato il primo formato: il browser è la superficie più accogliente, strutturata, tollerante e facile da osservare.
La conclusione non è che gli agenti computer-use siano finti. È che la capacità è reale e in miglioramento mentre l'affidabilità resta indietro, ogni superficie principale è ancora etichettata come beta o preview, e i punteggi da singola esecuzione lusingano la tecnologia. Per una demo, il 20% di completamento è un miracolo. Per un processo aziendale non presidiato, è un motivo per tenere una persona nel ciclo.
Il problema di sicurezza che nessuno ha risolto
Il divario di affidabilità è una questione di produttività. Il divario di sicurezza è una questione di governance, ed è peggiore. Al Black Hat USA 2026, i ricercatori di Zenity Labs hanno dimostrato una categoria di exploit zero-click che chiamano "PleaseFix" e che colpiscono i browser agentici di diversi fornitori (Dark Reading). La causa profonda è strutturale: un agente AI attinge contenuti da email, calendari, documenti e pagine web, e non riesce a distinguere in modo affidabile un'istruzione legittima da una malevola nascosta all'interno di quel contenuto. Così le segue entrambe.
Gli attacchi dimostrati non sono teorici. Un invito di calendario avvelenato ha dirottato un agente senza alcuna interazione dell'utente e ha raggiunto file locali e flussi di lavoro di gestori di password. Un link dall'aspetto ordinario ha indotto un altro agente a inviare messaggi di phishing dall'account di messaggistica della vittima stessa. Come ha detto il team di Zenity, un browser AI "agisce sul web come un tuo dipendente, già connesso alla sua email, ai suoi file, al suo calendario e alle sue app di lavoro". Un agente che eredita l'intero accesso autenticato di una persona ne eredita anche l'intero raggio d'azione.
Non esiste una patch pulita, perché l'esposizione deriva dalla progettazione, non da un singolo bug. Il consiglio dei ricercatori è eloquente: dai per scontato che l'agente verrà dirottato, decidi il peggio che potrebbe fare e togligli tutto ciò di cui non ha davvero bisogno. È un'istruzione di governance, non un aggiornamento software. È anche il motivo per cui la fiducia degli acquirenti resta ristretta. In un sondaggio di settore, solo circa il 20% dei dirigenti ha dichiarato che si fiderebbe di un agente AI per gestire transazioni finanziarie, contro il 38% per analisi di dati a minor rischio (PwC AI Agent Survey). Gartner, da parte sua, prevede che oltre il 40% dei progetti di AI agentica sarà cancellato entro la fine del 2027, citando i costi, il valore poco chiaro e i deboli controlli sui rischi (Gartner).
Cosa significa questo per le aziende
Ecco la lettura pratica. Un agente generico che guida un browser con la tua intera identità connessa è potente, inaffidabile e difficile da contenere. Per la maggior parte dei compiti aziendali, non ti serve questo. Ti serve il risultato (un appuntamento prenotato, una domanda a cui è stata data risposta, un ordine consultato) ottenuto attraverso un percorso ristretto e governato, con una persona in grado di intervenire.
È questa la differenza tra un agente a cui vengono date le chiavi di tutto e un agente a cui vengono dati esattamente gli strumenti che un compito richiede. In Entagl, l'agente rivolto al cliente è una pipeline multi-agente, non un singolo modello che pilota un browser. Agisce tramite strumenti con ambito definito e funzioni HTTP personalizzate che richiamano solo i sistemi che deve toccare, prenota appuntamenti reali in un calendario reale e passa la conversazione a una casella di posta umana con guardrail sull'output in ogni risposta. Non accede agli account di un cliente e non improvvisa attraverso il web aperto, così una pagina avvelenata o un invito di calendario malevolo non hanno alcun posto dove attecchire. Come abbiamo sostenuto in l'AI human-in-the-loop, spiegata, il principio di progettazione è semplice: l'AI agisce, gli umani governano.
La lezione del momento degli agenti-browser del 2026 non è "aspetta la tecnologia". È "dai un ambito alla tecnologia". Le aziende che vincono con gli agenti sono quelle che assegnano a un agente un compito chiaro, l'accesso minimo per svolgerlo e una persona sul percorso di escalation, invece della massima autonomia sperando che il contenuto che legge sia sempre onesto.
FAQ
Qual è la differenza tra un browser AI e un agente computer-use?
Un browser AI è un browser web con un agente AI integrato. Un agente computer-use è la capacità sottostante: un modello che opera sul software guardando lo schermo, cliccando e digitando. L'agente può funzionare all'interno di un browser, di un'app desktop o di una sandbox cloud. Nel 2026 il settore si è allontanato dal vendere browser AI autonomi e si è orientato verso l'integrazione degli agenti computer-use negli strumenti esistenti, motivo per cui OpenAI ha ritirato il suo browser Atlas e ne ha spostato le funzioni in ChatGPT.
Gli agenti computer-use sono abbastanza affidabili da gestire compiti aziendali senza supervisione?
Non ancora, per la maggior parte dei compiti ad alto rischio. Su flussi di lavoro lunghi e multi-step, i migliori sistemi misurati completano solo circa il 20% dei compiti dall'inizio alla fine, i punteggi dei benchmark da singola esecuzione sopravvalutano l'affidabilità reale, e gli agenti sono notevolmente più deboli al di fuori del browser. Per l'uso aziendale, lo schema sicuro è un agente con ambito ristretto e una persona nel ciclo, non la piena autonomia senza supervisione.
Qual è il principale rischio di sicurezza degli agenti browser AI?
Il prompt injection attraverso i contenuti. Un agente non riesce a separare in modo affidabile un'istruzione autentica da una malevola nascosta in un'email, un invito di calendario, un documento o una pagina web, così un attaccante può inserire comandi nascosti e reindirizzare l'agente usando l'accesso connesso dell'utente stesso. I ricercatori hanno dimostrato dirottamenti zero-click su più browser agentici al Black Hat USA 2026. La mitigazione è limitare ciò che l'agente può raggiungere, non fidarsi che si comporti bene.
Come dovrebbe una piccola impresa adottare gli agenti AI in modo sicuro?
Parti da un compito circoscritto (rispondere ai messaggi dei clienti, prenotare appuntamenti, consultare gli ordini), dai all'agente solo gli strumenti e i dati che quel compito richiede, tieni una persona in grado di subentrare e preferisci piattaforme che agiscono tramite strumenti governati anziché guidando il tuo browser connesso. Così cogli il guadagno di produttività mantenendo piccolo il raggio d'azione se qualcosa va storto.
Scopri come un agente governato, human-in-the-loop, gestisce conversazioni reali con i clienti tra chat e voce. Prenota una demo di 30 minuti e la mapperemo sulla tua azienda.
Fonti: 9to5Mac e TechCrunch sul cambiamento dei browser AI; Gartner e Gartner su adozione e cancellazione; BenchLM ScreenSpot Pro (11 agosto 2026) sul grounding; TestMu AI sui tassi di completamento di OSWorld 2.0; Dark Reading sulla ricerca "PleaseFix" di Zenity Labs; PwC AI Agent Survey sulla fiducia negli agenti. Le versioni dei modelli e le classifiche sono aggiornate ad agosto 2026 e cambiano ogni mese.