Atlas convierte la navegación con IA en una cadena de permisos

El 21 de octubre de 2025, OpenAI lanzó ChatGPT Atlas para macOS, un navegador que integra ChatGPT en la página abierta y permite al asistente actuar en sitios web. El anuncio oficial ofreció Atlas en todo el mundo a usuarios Free, Plus, Pro y Go; la versión empresarial comenzó en beta, y el modo agente llegó como vista previa para Plus, Pro y Business.

El cambio importante no es que un chatbot ocupe un panel lateral. Un navegador ya contiene sesiones iniciadas, historial, formularios y el contexto de lo que una persona hace. Cuando el asistente puede leer ese entorno, recordarlo y pulsar en él, se combinan tres capacidades distintas. Evaluarlas por separado —ver, conservar y actuar— evita confundir comodidad con autorización ilimitada.

Ver una página no significa recordarla

Atlas puede usar el contenido de la página visible para responder sin que el usuario copie y pegue. En el lanzamiento, OpenAI añadió un control en la barra de direcciones para impedir que ChatGPT viera sitios concretos. Si la visibilidad está desactivada, el asistente no puede leer la página ni crear recuerdos a partir de ella.

La memoria del navegador es otra función y era opcional. Permite conservar detalles de sitios visitados para recuperarlos en conversaciones posteriores. El usuario puede revisar o archivar esos recuerdos, y borrar el historial elimina los asociados. Esto no convierte el historial, las cookies, la memoria de ChatGPT y la memoria del navegador en una sola base: cada mecanismo cumple una función y requiere su propio control.

Una auditoría empieza con un diagrama de flujo. La página aporta contenido; el asistente lo procesa para la conversación; si la memoria está activada, algunos detalles pueden alimentar consultas futuras. En cada flecha hay que preguntar qué se envía, dónde se procesa, cuánto se conserva y qué acción lo borra. El botón “memoria desactivada” no sustituye a ocultar una página sensible.

OpenAI dijo que, por defecto, no utilizaría para entrenar sus modelos el contenido navegado. La participación debía activarse mediante “include web browsing”. También aclaró que la configuración de entrenamiento de las conversaciones afectaba a chats de Atlas, incluido el contenido adjuntado al usar el panel lateral y los recuerdos que informaran esos chats. “No recordar” y “no entrenar” son decisiones distintas.

Actuar eleva el impacto de un error

El modo agente puede abrir pestañas, hacer clic y avanzar por un proceso. OpenAI propuso ejemplos como añadir ingredientes a un carrito, concertar una cita o consultar documentos de trabajo. La propia compañía lo llamó una experiencia temprana y avisó de que podía equivocarse en flujos complejos.

Un resumen incorrecto perjudica una decisión; una acción incorrecta puede cambiar el mundo: comprar otro producto, enviar información, reservar una fecha o modificar una cuenta. La evaluación debe multiplicar probabilidad por impacto y reversibilidad. Una tarea frecuente no es de bajo riesgo si su error es caro, difícil de detectar o imposible de deshacer.

En el estreno, OpenAI limitó el agente de Atlas: no podía ejecutar código en el navegador, descargar archivos, instalar extensiones ni acceder a otras aplicaciones o al sistema de archivos. En determinados sitios sensibles, como instituciones financieras, debía detenerse para que el usuario observara la acción. También podía usarse sin sesión iniciada para reducir acceso a datos y capacidad de actuar como la persona.

Esas barreras describen el perímetro publicado, no una garantía de resultado. Una web ordinaria puede contener datos privados o desencadenar una compra; una confirmación puede llegar cuando el usuario no entiende lo que se enviará. La protección útil combina permisos mínimos, vista previa del cambio, confirmación en el último paso, registro y posibilidad de reversión.

Una página también puede intentar dar órdenes

La inyección de instrucciones aparece cuando contenido no confiable incluye texto concebido para desviar al agente de la petición del usuario. Puede estar visible o escondido en una página o un correo. Un humano lo interpreta como contenido; el sistema puede confundirlo con una orden. El riesgo no depende de que el mensaje sea verdadero, sino de que consiga alterar el comportamiento.

La tarjeta de sistema de ChatGPT agent, publicada en julio de 2025, enumera tres consecuencias: extraer datos accesibles en otra fuente, ejecutar acciones no deseadas o responder de forma incorrecta. También describe defensa por capas mediante entrenamiento, monitores, confirmaciones, supervisión en contextos sensibles y restricciones de red.

El documento es especialmente útil por su límite. Sus evaluaciones de inyección medían el comportamiento del modelo, no toda la cadena de defensas de extremo a extremo. OpenAI reconoció en el lanzamiento de Atlas que sus salvaguardas no detendrían todos los ataques. Una puntuación de laboratorio no autoriza, por tanto, a entregar al agente correo, banca y almacenamiento al mismo tiempo.

La separación entre datos e instrucciones debe reforzarse fuera del modelo. Un agente puede leer una página para extraer campos sin recibir permiso para ejecutar lo que esa página solicite. Las instrucciones válidas proceden del usuario y de una política conocida; el contenido remoto se trata como evidencia no confiable. Antes de enviar, comprar o publicar, el sistema debe mostrar destino, datos, importe o texto final.

El modo sin sesión reduce alcance, no hace anónimo al usuario

Usar el agente sin iniciar sesión en los sitios limita lo que puede consultar y lo que puede hacer en nombre de la persona. Es una forma práctica de reducir el radio de daño durante investigación abierta. No impide que el sitio vea la conexión ni convierte la navegación en privada frente al proveedor de internet, la organización o la propia web.

El modo incógnito cumple otra función: en el anuncio, cerraba temporalmente la sesión de ChatGPT. No debe interpretarse como invisibilidad en internet. Para una tarea sensible importa identificar a cada parte: navegador, cuenta de ChatGPT, sitio visitado, empleador o red. Cada una observa datos distintos y aplica su propia retención.

Una matriz decide qué delegar

La primera columna describe la tarea y su resultado verificable. La segunda enumera los datos necesarios: solo páginas públicas, una cuenta concreta o información de varias sesiones. La tercera recoge acciones permitidas: leer, rellenar, añadir al carrito, enviar o pagar. La cuarta fija el punto de confirmación y la quinta, cómo deshacer y auditar.

Una búsqueda pública puede ejecutarse sin sesión y terminar en una lista de fuentes. Un borrador de formulario puede prepararse con datos mínimos, pero el usuario revisa campos antes de enviarlo. Una transferencia, cambio de contraseña o publicación pública requiere control directo y no se delega solo porque el agente sea capaz de pulsar el botón.

La prueba debe incluir páginas adversarias, ventanas inesperadas, instrucciones ambiguas y datos incompletos. Se registra si el agente identifica la excepción, pide ayuda, conserva el objetivo original y evita acciones laterales. El éxito no es “llegó al final”, sino “llegó al estado correcto sin exceder permisos y dejó evidencia revisable”.

Atlas acercó el asistente al lugar donde ocurre el trabajo digital. Eso puede ahorrar pasos, pero también elimina separaciones que antes protegían al usuario. La capacidad transferible es reconstruirlas de forma explícita: visibilidad para lo que necesita leer, memoria solo para lo que conviene conservar, permisos mínimos para actuar y confirmación humana donde el error cambia dinero, identidad o información.

Antes de iniciar una tarea real, una pregunta breve descubre permisos ocultos: “¿qué tendría que abrir el agente para completar esto?”. Si la respuesta incluye correo, gestor de contraseñas, historial o varias cuentas, conviene partir el encargo. El agente investiga sin sesión, prepara el resultado en un borrador y la persona ejecuta el paso autenticado. Esta división no elimina la automatización; coloca la credencial y la decisión irreversible fuera del tramo expuesto a contenido remoto. Repetir la prueba con una cuenta de ensayo permite comprobar límites sin usar datos o dinero reales.