OpenAI近日正式推送了浏览器扩展更新，允许ChatGPT直接读取并操作用户在Google Chrome中打开的标签页。这项改动看似只是多了一个侧边栏工具，核心逻辑却发生了质变：AI不再依靠无状态的云端沙盒抓取公开网页，而是借助本地桌面客户端穿透浏览器，直接继承用户的本地登录凭证与多标签上下文。
这意味着AI助手从单一问答窗口正式走向跨标签协同。但与此同时，这一通道也绕过了浏览器严密的同源隔离屏障，在带来跨SaaS自动化便利的同时，将提示词注入的潜在危害直接放大到了内网与个人数据深处。
穿透沙盒：桌面协同与高危权限
过去网页端AI要读取外部网页，往往依赖后端爬虫。那种机制无法处理验证码，更不可能看到用户在企业内网、Gmail或Salesforce里已登录的私密界面。
OpenAI这次采用的架构完全不同。官方文档明确指出，读取标签页并非独立云端功能，必须依赖ChatGPT桌面客户端与官方扩展协同运作。用户需要在桌面端进入 Settings → Computer Use → Chrome 开启授权，随后在Work或Codex对话流中通过输入“@”来唤起Chrome标签页作为上下文。除了Chrome，该扩展同样支持Edge、Brave、Opera和Vivaldi等主流Chromium内核浏览器。
真正让这套机制生效的，是底层极其激进的权限组合。安装该扩展时，用户必须授予其页面调试器（debugger）、读取与修改所有网站数据、跨设备浏览记录、书签以及与原生应用通信等多项高危权限。
拥有调试器权限的扩展，本质上接管了浏览器内核赋予开发者的完整控制力。
一旦用户通过侧边栏或右键菜单触发指令，ChatGPT不仅能抓取静态文本，还能利用浏览器控制（Browser Control）能力在已登录页面内点击控件、填写表单或下载文件。例如，用户打开三个不同家居网站的沙发展示页，可以直接要求模型汇总尺寸与价格；或者结合活动日程草稿，自动把信息填入另一标签页的报名表格中。
在商业模式上，该扩展本身并未设立单独的收费墙，但依赖底层的计算配额。用户需要开通 $20/月 的Plus订阅，或是 $100、$200乃至$500/月 的Pro订阅方案，且浏览器操作所耗费的上下文与模型推理层级直接共享这些高阶配额。
正面对决：自由工作流抗衡原生限制
这显然是OpenAI向Google腹地发起的一次精准突击。随着自研Atlas独立浏览器的搁置，OpenAI选择直接寄生在Google Chrome庞大的用户生态内。
这与Google自带的Gemini构成了鲜明对照。Google在Chrome中内置了Gemini的自动化浏览与分析功能，其优势在于无需额外安装桌面端，系统集成度高，但Google设立了严格的安全收口——内置Gemini明确限制除了当前活动页面外，最多只能选取共享10个最近打开的标签页。
相比之下，OpenAI官方文档并未对扩展关联的标签页设置硬性数量上限。ChatGPT侧重的是深层工作流串联：将浏览器里的在线数据，与本地桌面工作区、Codex代码环境以及桌面本地文档打通。Google守住的是浏览器的开箱原生防线，而OpenAI则把浏览器当成其桌面级Agent执行任务的一个数据输入端。
这种灵活性让重度知识工作者获益明显，但它的代价是将数据交互的边界推向了更复杂的境地。
脆弱的防线：提示词注入与同源策略失效
浏览器安全体系的基石是同源策略（Same-Origin Policy），它严密隔绝不同域名下的脚本执行，确保恶意网站无法读取另一个标签页里的内网数据或银行会话。
然而，当AI代理同时拥有跨标签页读取与表单操作能力时，这道物理隔离在逻辑层面失效了。华盛顿大学研究人员Franziska Roesner与David Kohlbrenner在2026年针对类似Agent模式的实测表明，网页中隐藏的不可见提示词注入（Prompt Injection）指令，能够轻易诱导AI违背用户意图，将其他标签页提取出的敏感字段通过HTTP请求发送至第三方服务器。
OpenAI自身也曾披露过测试中的典型事故：在处理未过滤的外部邮件时，一封带有恶意隐藏指令的信件差点促使Agent执行了向外发送辞职信的非预期操作。当用户左侧打开着公司内部Wiki或HR系统，右侧打开着包含对抗性文本的未验证公开网页，一旦调用跨标签分析，模型很可能在不知情中成为恶意代码的搬运工。
- 风险.赋予AI扩展全局调试权限，等于将整个浏览器会话的同源保护降级为大模型本身的抵抗注入能力，而学术界至今仍未彻底解决注入攻击。
为了缓解担忧，OpenAI在权限模型中设定了渐进提示：对于新访问的网站，扩展默认弹出单次允许、当前站点允许或拒绝；针对跨设备的浏览记录，则不提供永久授权选项，每次都需要单独确认。而在数据生命周期上，官方强调不存储完整的页面操作轨迹，但只要被抓取进入对话上下文的文本与截图，仍遵循标准数据留存策略，在用户手动删除后最多保留30天才会彻底清除。
- 建议.重度办公用户若需使用多标签比对，应在独立的Chrome配置文件中运行该扩展，坚决将企业生产系统、银行账户与开放性网页检索隔离在不同的浏览器实例内。