- Els navegadors amb agents dIA integrats amplien la superfície datac en actuar amb els mateixos permisos i sessions de lusuari.
- Les tècniques de prompt injection, ús del porta-retalls i OCR permeten a atacants manipular l'agent per exfiltrar dades i executar accions no desitjades.
- La combinació d'extensions amb IA, Shadow AI i dades sensibles exposa tant usuaris com empreses a greus problemes de privadesa i compliment.
- Mitigar riscos exigeix controls estrictes al propi navegador, polítiques clares d'ús d'IA i solucions de seguretat addicionals centrades a la web.
L'onada de navegadors amb agent d'IA integrat ja és aquí: Atles d'OpenAI, Comet de Perplexity, Brave amb Leo, Chrome amb Gemini, Edge amb Copilot, Firefox incorporant funcions intel·ligents… i el que ve. Aquesta nova generació de programari promet que deixem de “navegar” i passem a dir a la màquina el que volem que faci: llegir per nosaltres, omplir formularis, gestionar compres o fins i tot automatitzar tasques complexes a la web.
No obstant això, aquesta comoditat té un costat fosc: el navegador mateix passa a ser un agent autònom amb els teus permisos , les teves sessions obertes, els arxius i, en molts casos, les teves dades personals o corporatives. Si alguna cosa surt malament —ja sigui per disseny, per una fallada de seguretat o per un atac ben plantejat—, l'impacte pot ser molt més gran que el d'un navegador tradicional o un simple chatbot al núvol.
Un navegador amb agent d'IA és, en essència, un navegador “normal” amb un model de llenguatge profundament integrat que veu les pàgines que visites, entén el contingut i està autoritzat a executar accions com si fos el mateix usuari. No es limita a resumir una web: podeu fer clic a botons, escriure en formularis, descarregar fitxers, gestionar pestanyes o interactuar amb serveis on ja estàs autenticat.
Això marca una diferència important respecte a fer servir un chatbot clàssic en una altra pestanya, on tu còpies i enganxes contingut: ara l'agent està “dins” del navegador , amb accés directe al context de la teva navegació, a les teves sessions obertes i, potencialment, als teus fitxers locals oa altres recursos del sistema.
Aquesta arquitectura és especialment atractiva per a les grans tecnològiques. Perplexity ha llançat el seu navegador Comet i va arribar a plantejar-se la compra de Chrome , mentre que Google i Microsoft van injectant els seus models Gemini i Copilot directament a Chrome i Edge. OpenAI, per part seva, ha presentat ChatGPT Atlas com el seu propi navegador basat en Chromium, amb una capa d'IA que opera en processos separats per reduir riscos.
La motivació de negoci és clara: milions d'usuaris, ús constant i tones de dades . Un navegador així genera una enorme fidelització ( fa mandra canviar de navegador i per això és habitual fer servir diversos navegadors ) i, a més, ofereix telemetria sobretot el trànsit web i sobre com interactuen els usuaris amb la xarxa, una cosa extremadament valuosa per entrenar models, provar noves funcions i reduir costos d'infraestructura movent part del treball als dispositius dels mateixos usuaris.
Atles d'OpenAI: funcions clau i primers límits de seguretat
El 21 d'octubre del 2025 OpenAI va alliberar la primera versió pública de ChatGPT Atlas per a macOS , el seu navegador amb IA integrada que, segons la pròpia companyia, s'expandirà a Windows, Android i iOS. La idea és que la navegació “sigui” ChatGPT: l'usuari deixa de copiar i enganxar text perquè el model el processi, i passa a demanar directament tasques sobre la pàgina que esteu veient.
Per reduir riscos, OpenAI ha aplicat diverses restriccions tècniques pensades específicament per a l'agent del navegador . Atles es basa en Chromium, però la IA corre en processos separats, encapsulats en allò que anomenen OpenAI Web Layer (OWL). Segons la documentació inicial, l'agent:
- No podeu executar codi ni instal·lar extensions pel seu compte.
- No té capacitat per descarregar arxius de forma autònoma ni accedir a altres aplicacions locals.
- No veu ni utilitza contrasenyes guardades ni dades d'autocompletat de el navegador.
- No podeu accedir a informació del dispositiu fora del seu àmbit de navegació.
Pel que fa a privadesa, OpenAI promet un enfocament “privacy by default”: les interaccions amb Atles no s'utilitzen per entrenar models llevat que l'usuari ho autoritzi explícitament. A més, la memòria del navegador –la capacitat de recordar pàgines i contextos– ve desactivada de fàbrica i s'ha d'habilitar manualment.
L'usuari pot, a més, esborrar historial i memòries i definir a quins webs ChatGPT pot interactuar o fins i tot bloquejar totalment la IA amb un sol clic. En llocs crítics com ara bancs o serveis sensibles, Atlas exigeix una confirmació manual abans que l'agent realitzi accions , amb l'objectiu d'evitar operacions no desitjades o moviments financers automàtics.
Aquestes salvaguardes són un pas en la direcció correcta, però no eliminen el problema de fons: un navegador amb IA té molt més poder que un navegador clàssic , i n'hi ha prou amb una sola vulnerabilitat, mala configuració o decisió de disseny per convertir-lo en un vector d'atac molt rendible.
La integració de la IA genera una superfície d'atac completament nova. No parlem només de “bugs” clàssics de navegador, sinó de fallades en la interacció entre el model de llenguatge, el contingut web i les accions automatitzades . Aquests són els riscos més importants que s'han identificat fins ara.
Injecció de prompts i instruccions ocultes
L'anomenada prompt injection (injecció d'indicacions) consisteix a amagar instruccions malicioses dins de la pròpia pàgina web, en fragments de text aparentment innocus, en HTML ocult, en comentaris de fòrums, en etiquetes markdown i fins i tot en imatges que després es processen via OCR.
Quan l'usuari demana a l'agent que resumeixi, analitzi o interactuï amb aquesta pàgina, el model pot interpretar aquestes instruccions com a ordres legítimes de l'usuari, i executar-les amb tots els privilegis de la sessió: navegar a noves URLs, prémer botons, copiar dades privades, omplir formularis o publicar informació sensible.
Un exemple pràctic ho ha documentat Brave amb Perplexity Comet: un usuari obre un fil de Reddit que amaga, en un text tipus “spoiler”, un conjunt d'ordres malicioses . En prémer el botó de “resumir la pàgina” amb l'agent activat, el navegador:
- Accedeix a la configuració del compte de Perplexity i obté el correu de l'usuari.
- Simula un inici de sessió per generar un codi OTP de verificació.
- Obre Gmail (si ja està en sessió), troba el missatge amb el codi i el llegeix.
- Publica al mateix fil de Reddit el correu de l'usuari i l'OTP, deixant-ho a la vista de l'atacant.
Tot això succeeix exclusivament mitjançant text, sense necessitat de scripts maliciosos ni exploits de baix nivell , i amb un únic clic de lusuari. És el contingut de la pàgina el que “programa” l'agent perquè abusi dels permisos.
Injecció a través del porta-retalls i de l'OCR
Un altre vector que comença a guanyar pes és la manipulació del porta-retalls . El codi maliciós tradicional ja ho explota per canviar adreces de criptomonedes o interceptar credencials; en el context d'un navegador amb IA, l'agent podria llegir el que copies i actuar en conseqüència, o fins i tot enganxar de tornada contingut modificat sense que ho notis.
Més sofisticat encara és l'ús d' instruccions ocultes en imatges processades per OCR . El navegador pot llegir text incrustat a gràfics o captures de pantalla, i si un atacant amaga ordres en píxels que passen desapercebuts a l'ull humà però no al sistema de reconeixement, l'agent podria executar-les com si fossin part legítima de la pàgina.
En tots dos casos, el problema és el mateix: el model no distingeix de manera robusta entre contingut “descriptiu” i contingut “instruccional” , i tendeix a obeir tot el que sona a ordre, sobretot si està formatat de forma persuasiva.
Exposició i abús de dades personals i sensibles
Els navegadors amb IA solen incloure funcions de farciment automàtic intel·ligent o de gestió de formularis que van més enllà de l'autocompletat clàssic. Si una pàgina maliciosa simula un formulari legítim (per exemple, d'un banc, una xarxa social o un proveïdor SaaS) i l'agent considera que t'ha de “estalviar feina”, podeu introduir dades com nom complet, adreça, telèfon o fins i tot identificadors interns d'empresa sense sol·licitar una verificació explícita.
Si, a més, el navegador té permisos per veure totes les pestanyes obertes o recents , el risc es multiplica: l'agent podria utilitzar simultàniament informació del correu, calendari, contactes, CRM corporatiu o gestor de projectes per completar una tasca ampliant l'abast d'una filtració. Encara que això pugui ser útil en usos legítims, a les mans d'un atacant es converteix en una mina d'or de dades sensibles.
En entorns empresarials, el problema s'agreuja. Extensions de navegador amb IA, integrades al flux de treball, solen demanar permisos molt amplis : llegir i modificar el contingut de totes les webs, accedir a cookies i sessions, interactuar amb APIs, etc. Aquesta combinació és perfecta per robar propietat intel·lectual, informes financers, dissenys en curs, codi font o converses confidencials.
Sessions persistents i segrest de comptes
Un navegador modern manté obertes nombroses sessions autenticades : correu, emmagatzematge al núvol, xarxes socials, banca en línia, eines de treball, panells d'administració… Si l'agent té la capacitat d'interactuar amb tots aquests serveis i, a més, la sessió no caduca o es reutilitza de manera indefinida, un atacant pot aprofitar qualsevol injecció d'èxit per realitzar accions.
Això obre la porta a atacs de segrest de sessió i moviment lateral : una vegada que l'agent ha estat enganyat, pot descarregar o esborrar fitxers, canviar configuracions, afegir claus SSH a repositoris, modificar registres en un CRM o aprovar ordres de compra, tot això des del context de diferents serveis on l'usuari ja havia iniciat sessió.
Phishing, desinformació i manca de transparència en les accions
Els navegadors amb IA també són especialment vulnerables a campanyes de pesca “invisibles” . El mateix agent pot ser usat per visitar pàgines fraudulentes, omplir formularis d'autenticació o confirmar transaccions sense que l'usuari vegi mai la interfície real, només un resum “amable” generat pel model.
A més, els sistemes que transformen contingut abans de mostrar-lo a l'usuari compliquen la detecció de llocs falsos: la IA pot suavitzar senyals d'alerta, reordenar elements i fins i tot generar explicacions plausibles que fan més difícil distingir un web legítim d'una còpia dissenyada per robar credencials.
Un altre risc menys tangible però igual de seriós és la susceptibilitat a la desinformació i al contingut manipulat . Un model mal configurat o entrenat amb dades enverinades pot prioritzar fonts tendencioses, ometre advertiments o generar respostes que reforcin narratives falses. Si el navegador es fa servir de manera intensiva per informar-se, l'impacte en la percepció de la realitat o en decisions crítiques (per exemple, inversió, salut, política) pot ser considerable.
En tots aquests casos, pesa un problema transversal: l'opacitat de les accions que realitza l'agent . Moltes interaccions succeeixen per sota del capó, sense que l'usuari vegi exactament quines pestanyes s'obren, quines dades s'han copiat o quins botons s'han premut. Això dificulta l'auditoria, l'atribució de responsabilitats legals (ha estat l'usuari o la IA?) i la detecció primerenca de comportaments anòmals.
Omnibox, ordres disfressades i exploits zero-click
L'omnibox o barra única d'adreces i cerca, característica de navegadors moderns, afegeix la seva pròpia capa de perill. En un escenari amb IA, una ordre maliciós pot camuflar-se com una URL o una cerca innocent . Si el model analitza el que escrius i intenta “ajudar-te” executant accions directament, pot acabar navegant a llocs controlats per atacants o executant seqüències de tasques no desitjades.
En paral·lel, l'explosió de vulnerabilitats de tipus zero-click en ecosistemes d'IA demostra que, de vegades, ni tan sols cal interacció directa: només cal rebre un correu, una invitació de calendari o un missatge en una plataforma integrada amb l'agent perquè s'activi la lògica maliciosa. Exemples com EchoLeak a Microsoft 365 Copilot mostren com, aprofitant càrregues automàtiques d'imatges, interpretacions de markdown i proxies interns , un atacant pot escalar privilegis i exfiltrar dades sense que l'usuari faci res.
Aquest tipus datacs no es limita a grans suites ofimàtiques: qualsevol navegador amb agent IA exposat al correu web, missatgeria o panells dadministració podria convertir-se en víctima si el model interactua automàticament amb els continguts rebuts.
Extensions amb IA, cadena de subministrament i Shadow AI
Fora dels navegadors oficials amb IA integrada, s'està produint una proliferació d' extensions de navegador impulsades per models de llenguatge que prometen productivitat instantània: assistents de redacció, detectors de sentiment, autocompletat avançat, resums de reunions, etc. Aquestes extensions solen sol·licitar permisos molt intrusius i, en molts casos, envien dades a serveis externs poc transparents.
Aquesta situació crea un còctel explosiu de vulnerabilitats de cadena de subministrament : biblioteques de tercers, APIs no auditades, servidors d'inferència ubicats a altres països, actualitzacions automàtiques sense control… Una extensió inicialment legítima pot ser comprada per un actor maliciós i actualitzar-se en silenci per recol·lectar dades sensibles o plantar codi maliciós en entorns corporatius.
Tot això es veu agreujat per la Shadow AI , és a dir, lús daquestes eines sense aprovació ni visibilitat del departament de TI. Empleats benintencionats que instal·len extensions de IA per treballar més ràpid poden, sense saber-ho, estar exportant informació protegida per GDPR, HIPAA o PCI DSS a proveïdors tercers que no compleixen els requisits legals ni de seguretat exigits.
Impacte en privadesa, compliment normatiu i cibercrim
La conseqüència directa d'aquest nou escenari és un augment dràstic dels riscos per a la privadesa personal i la confidencialitat empresarial . Un navegador d'IA o una extensió mal gestionada pot capturar llibres, articles científics sota subscripció, esborranys d'informes financers, plans estratègics, codi propietari o dades de clients sense que ningú ho detecti.
A l'àmbit domèstic ja hem vist errors concrets: ChatGPT va arribar a mostrar fragments de xats d'altres usuaris per un error tècnic, i la funció de compartir converses va generar URLs indexables per cercadors, deixant milers de diàlegs privats a la vista de qualsevol. És fàcil extrapolar el que podria passar quan l'assistent tingui accés ple al trànsit web ia fitxers locals.
Al terreny corporatiu, l'exposició de propietat intel·lectual o dades reguladores pot implicar multes milionàries, pèrdua d'avantatge competitiu i dany reputacional . Si una extensió de transcripció de reunions emmagatzema converses amb clients sensibles a servidors de tercers, o si un navegador amb IA utilitza informació financera confidencial per entrenar models, l'organització podria incomplir RGPD, CCPA, HIPAA o altres normatives sectorials.
Alhora, els ciberdelinqüents estan aprofitant les mateixes capacitats que les empreses busquen. Ransomware assistit per IA i malware polimòrfic ja han estat observats a la natura: famílies com PromptLock generen scripts sobre la marxa per moure's per sistemes Windows, macOS o Linux, eludir deteccions i xifrar dades. Els anomenats “Dark LLMs” —models oberts modificats per a fins criminals— permeten automatitzar reconeixement, robatori de credencials i campanyes d'intrusió completes.
Investigacions recents han demostrat que els LLMs integrats en fluxos corporatius poden ser coaccionats per instal·lar codi maliciós, extreure dades o manipular resultats simplement a través de prompts ben dissenyats o dades d'entrenament enverinats. A mesura que els navegadors amb agent IA es tornin la interfície principal amb la web, aquesta amenaça s'estendrà a pràcticament qualsevol activitat en línia.
Mitigacions implementades i recomanacions per reduir riscos
Els proveïdors de navegadors amb IA comencen a reaccionar. A més de les restriccions ja comentades a Atles, Brave ha proposat bones pràctiques concretes per mitigar atacs de prompt injection i abusos d'agent:
- Diferenciar clarament les ordres de l'usuari del text de la web, evitant barrejar tots dos al mateix canal d'instruccions cap al model.
- Requerir confirmació explícita per a qualsevol acció sensible (compres, canvis de configuració, moviments de diners, accés a correus).
- Aïllar les funcions avançades de l'agent de la navegació bàsica, de manera que el simple fet de visitar una pàgina no impliqui capacitat dactuar automàticament.
- tractar tot contingut web com a no fiable per defecte, exigint senyals clars d'intenció de l'usuari abans d'executar accions.
En paral·lel, algunes companyies, com OpenAI, ofereixen controls granulars de visibilitat i memòria : bloquejar IA en dominis específics, desactivar per defecte l'ús de dades per a entrenament, permetre que l'usuari esborri converses i memòries quan ho desitgi o requereixin aprovacions manuals en llocs considerats crítics.
Des del costat de l'empresa usuària, hi ha una sèrie de mesures d'higiene bàsica que cal implantar com més aviat millor:
- Política clara sobre ús d'IA: quins navegadors i extensions estan permesos, quines dades poden processar i en quines condicions.
- Formació contínua per a empleats, explicant riscos de prompt injection, phishing dirigit a la IA i fugida de dades.
- ús de entorns virtualitzats o aïllats (VDI, sandboxes) per a tasques d'alt risc, de manera que un incident sigui més fàcil de contenir.
- implantació de solucions de seguretat centrades al navegador que monitoritzin extensions, comportament anòmal i exfiltració de dades.
Un navegador d'IA ideal, segons els experts, hauria de permetre activar o desactivar el processament intel·ligent per lloc amb un sol clic, aïllar el context del model entre dominis, confirmar sempre la introducció de dades sensibles, restringir per sistema operatiu l'accés a fitxers i permetre que l'usuari esculli fins i tot models locals sense enviament de dades al núvol. Cap dels productes actuals compleix encara tots aquests requisits, per la qual cosa és imprescindible complementar-los amb capes de seguretat externes.
El panorama que dibuixen els navegadors amb agent d'IA és tan potent com delicat: si es gestionen bé, poden democratitzar l'automatització avançada al dia a dia; si es descuiden, es poden convertir en l'eina preferida dels atacants . La clau estarà en com evolucionin les mesures tècniques (aïllament, controls d'usuari, detecció d'injeccions) i quant inverteixin organitzacions i particulars a entendre què fa, exactament, aquest “assistent” que ara viu dins del seu navegador.
