ChatGPT 能看你的 Chrome 標籤頁了，Atlas 沒走完的路換了個入口
OpenAI 給 ChatGPT 的 Chrome 擴展做了一次升級：用戶在 ChatGPT 的網頁版或桌面版裏輸入 @ 並選中 Chrome，模型就能讀取當前打開的標籤頁標題和內容，並據此作答或動手。官方演示裏，用戶讓 ChatGPT 比較分別開在三個標籤頁裏的沙發，再生成一張對比表。列出的示例指令還包括把活動簡報裏的信息填進報名表、把日程加進工作與個人日曆、按價格和關鍵功能整理供應商對比表。這項能力不是常開，只有被點名時才生效，觸發詞就是那個 @。
同一次更新裏，ChatGPT 被放進瀏覽器側邊欄，官方說法是帶着"完整的 ChatGPT 能力"和 Chat 或 Work 裏的全部對話歷史，不必離開當前頁面。更進一層的是 ChatGPT Work：它能"控制"標籤頁，完成發消息、填表單、下載文件這類動作，也能把散開的標籤頁歸攏分組。OpenAI 自己把這項能力類比成谷歌 Gemini 的 auto browse。覆蓋範圍也不止 Chrome，Edge、Brave、Opera、Vivaldi 都在名單上；五個瀏覽器都支持標籤頁點名與瀏覽器控制，側邊欄對話則在 Opera 缺席。
背景是 OpenAI 自己的瀏覽器 ChatGPT Atlas 已經關停：2025 年 10 月 21 日上線、只做 macOS，2026 年 7 月 9 日宣佈棄用，8 月 9 日正式停止工作，前後 292 天。產品失敗在分發，不在想法。OpenAI 沒有放棄把代理放進瀏覽器，而是把它塞回用戶本來就在用的那個瀏覽器裏。這也是這次升級被讀成"Atlas 替代品"的原因——同樣的代理能力，換成一個擴展的權限對話框。
代價寫在權限提示裏。按 OpenAI 自己文檔的描述，安裝這個擴展意味着"在所有網站上讀取和更改你的全部數據""在你所有已登錄設備上讀取和更改瀏覽歷史""訪問頁面調試器"，此外還有書籤、下載和標籤頁分組。對普通用戶，省下的是複製粘貼：比價、填表、排行程不必來回切窗口。可打開的標籤頁恰恰是個人信息最密集的地方，郵箱、後臺、病例、合同都可能在裏面。有分析認爲這次設計留了剋制：只有打上 @Chrome 才觸發，不構成被動監視；反過來說，唯一的閘門就是那句提示詞本身。
安全研究的結論並不輕鬆。華盛頓大學 Roesner 與 Kohlbrenner 團隊的論文測試了多款代理瀏覽器，ChatGPT Atlas 的代理模式是其中唯一被成功實施跨源數據竊取的；該研究發表於 ICLR 2026 的 Agents in the Wild 工作坊，4 月 26 日在里約熱內盧報告。研究員 Gal Weizman 演示的 BragJack 更進一步：借一隻權限平平的擴展，把僞造指令塞進瀏覽器自家 AI 的通信通道，即可劫持 Chrome、Edge、Comet、Opera Neon 與 Claude in Chrome 中的代理。他把這稱作 Prompt Forcing——最終動作由可信軟件執行，端點防護很難識別。相關缺陷在 Chrome 側記爲 CVE-2026-0628（CVSS 8.8），Edge 側爲 CVE-2026-55945，Chrome 143.0.7499.192 與 Edge 150.0.4078.48 之後的版本已修復。Zenity Labs 在 2026 年 8 月的實驗裏，僅靠一條熱門帖子下的評論，就讓 Atlas 從受害者本人的 WhatsApp 賬號向其整個聯繫人列表發出了釣魚消息。
競品早已在同一條賽道上：谷歌 Gemini 的 auto browse 按訂閱限次，AI Pro 每天 20 個任務、Ultra 200 個，且分地區開放。企業側的差別更實在——管理員能否關掉瀏覽器、按站點設規則、禁止導入 cookie 和密碼，且用戶無法自行覆蓋。Chrome 擴展這些年的安全審閱反覆指向同一件事：申請"讀取並更改所有網站數據"的擴展太多，權限本身就該計入風險。對用戶來說，真問題不是 ChatGPT 能不能看標籤頁，而是你願意讓幾個這樣的代理同時待在瀏覽器裏。接下來要看的是，OpenAI 會不會把站點白名單、動作前確認和審計日誌做成默認，而不是隻留給管理員。