ChatGPT 能看你的 Chrome 标签页了，Atlas 没走完的路换了个入口
OpenAI 给 ChatGPT 的 Chrome 扩展做了一次升级：用户在 ChatGPT 的网页版或桌面版里输入 @ 并选中 Chrome，模型就能读取当前打开的标签页标题和内容，并据此作答或动手。官方演示里，用户让 ChatGPT 比较分别开在三个标签页里的沙发，再生成一张对比表。列出的示例指令还包括把活动简报里的信息填进报名表、把日程加进工作与个人日历、按价格和关键功能整理供应商对比表。这项能力不是常开，只有被点名时才生效，触发词就是那个 @。
同一次更新里，ChatGPT 被放进浏览器侧边栏，官方说法是带着"完整的 ChatGPT 能力"和 Chat 或 Work 里的全部对话历史，不必离开当前页面。更进一层的是 ChatGPT Work：它能"控制"标签页，完成发消息、填表单、下载文件这类动作，也能把散开的标签页归拢分组。OpenAI 自己把这项能力类比成谷歌 Gemini 的 auto browse。覆盖范围也不止 Chrome，Edge、Brave、Opera、Vivaldi 都在名单上；五个浏览器都支持标签页点名与浏览器控制，侧边栏对话则在 Opera 缺席。
背景是 OpenAI 自己的浏览器 ChatGPT Atlas 已经关停：2025 年 10 月 21 日上线、只做 macOS，2026 年 7 月 9 日宣布弃用，8 月 9 日正式停止工作，前后 292 天。产品失败在分发，不在想法。OpenAI 没有放弃把代理放进浏览器，而是把它塞回用户本来就在用的那个浏览器里。这也是这次升级被读成"Atlas 替代品"的原因——同样的代理能力，换成一个扩展的权限对话框。
代价写在权限提示里。按 OpenAI 自己文档的描述，安装这个扩展意味着"在所有网站上读取和更改你的全部数据""在你所有已登录设备上读取和更改浏览历史""访问页面调试器"，此外还有书签、下载和标签页分组。对普通用户，省下的是复制粘贴：比价、填表、排行程不必来回切窗口。可打开的标签页恰恰是个人信息最密集的地方，邮箱、后台、病例、合同都可能在里面。有分析认为这次设计留了克制：只有打上 @Chrome 才触发，不构成被动监视；反过来说，唯一的闸门就是那句提示词本身。
安全研究的结论并不轻松。华盛顿大学 Roesner 与 Kohlbrenner 团队的论文测试了多款代理浏览器，ChatGPT Atlas 的代理模式是其中唯一被成功实施跨源数据窃取的；该研究发表于 ICLR 2026 的 Agents in the Wild 工作坊，4 月 26 日在里约热内卢报告。研究员 Gal Weizman 演示的 BragJack 更进一步：借一只权限平平的扩展，把伪造指令塞进浏览器自家 AI 的通信通道，即可劫持 Chrome、Edge、Comet、Opera Neon 与 Claude in Chrome 中的代理。他把这称作 Prompt Forcing——最终动作由可信软件执行，端点防护很难识别。相关缺陷在 Chrome 侧记为 CVE-2026-0628（CVSS 8.8），Edge 侧为 CVE-2026-55945，Chrome 143.0.7499.192 与 Edge 150.0.4078.48 之后的版本已修复。Zenity Labs 在 2026 年 8 月的实验里，仅靠一条热门帖子下的评论，就让 Atlas 从受害者本人的 WhatsApp 账号向其整个联系人列表发出了钓鱼消息。
竞品早已在同一条赛道上：谷歌 Gemini 的 auto browse 按订阅限次，AI Pro 每天 20 个任务、Ultra 200 个，且分地区开放。企业侧的差别更实在——管理员能否关掉浏览器、按站点设规则、禁止导入 cookie 和密码，且用户无法自行覆盖。Chrome 扩展这些年的安全审阅反复指向同一件事：申请"读取并更改所有网站数据"的扩展太多，权限本身就该计入风险。对用户来说，真问题不是 ChatGPT 能不能看标签页，而是你愿意让几个这样的代理同时待在浏览器里。接下来要看的是，OpenAI 会不会把站点白名单、动作前确认和审计日志做成默认，而不是只留给管理员。