Los navegadores con IA en 2026 son buenos en una tarea y prometedores en otra. Leen, resumen y comparan entre tus pestañas abiertas lo bastante bien como para usarlos a diario, y sus modos de agente ya pueden rellenar formularios, armar un carrito de compra o reservar un hueco en sitios donde tienes la sesión iniciada. Pero también completan solo una minoría de las tareas reales, son lentos, y ningún proveedor afirma haber resuelto la prompt injection, el ataque que convierte una página web en instrucciones para tu agente.
La categoría ha cambiado de forma este año. OpenAI cerró su navegador ChatGPT Atlas y trasladó el agente a la app de escritorio de ChatGPT. Microsoft retiró Copilot Mode en Edge. Google metió un agente llamado auto browse dentro de Chrome, Comet de Perplexity llegó a las cuatro plataformas principales y Anthropic lanzó Claude in Chrome con disponibilidad general, aprobando automáticamente las acciones que considera seguras. Mientras tanto, un tribunal federal de apelaciones decidió que, cuando Comet compra en Amazon, quien accede a los ordenadores de Amazon es el comprador.
Si estás decidiendo si usar uno en el trabajo, o si dejar que lo use tu equipo, importan dos cosas: qué tareas termina y qué puede hacer que haga una página maliciosa. Esta guía repasa ambas a partir de la documentación de los proveedores y de investigaciones publicadas, y te da una configuración, un verificador de tareas, un selector de navegador y una regla para equipos.
El mercado de navegadores con IA se redujo a los navegadores que ya usas
Las funciones de agente se han mudado este año a Chrome, Edge y las apps de chat por las que la gente ya paga. ChatGPT Atlas duró menos de un año. Salió en Mac el año pasado, nunca llegó a Windows y OpenAI lo retiró este año. Sus funciones se repartieron en tres: una extensión de ChatGPT para Chrome que responde preguntas sobre la página en la que estás, un navegador integrado en la app de escritorio de ChatGPT que puede iniciar sesión en sitios y descargar archivos, y un navegador en la nube, en los servidores de OpenAI, donde el agente resuelve tareas de forma remota (TechCrunch).
Microsoft tomó una decisión parecida. Retiró Copilot Mode en Edge, y la función de agente que antes se llamaba Copilot Actions ahora es Browse with Copilot, que requiere una suscripción a Microsoft 365 Premium y funciona solo en Edge de escritorio en EE. UU. (Microsoft Edge Blog). La parte gratuita de Microsoft Copilot en Edge conservó las funciones de lectura útiles, incluidas las respuestas que se apoyan en varias pestañas abiertas a la vez.
Google Gemini en Chrome, en cambio, ha crecido. El panel lateral que resume páginas y compara pestañas se extendió este año a India, Canadá y Nueva Zelanda, y después a Latinoamérica, África y Oriente Medio. El agente es un extra de pago. Auto browse viene con Google AI Pro, a 19,99 $ al mes, o con Google AI Ultra, desde 99,99 $ al mes (planes de Google AI), y por ahora solo funciona en EE. UU., en escritorio y Android.
Perplexity hizo Comet gratuito el año pasado y añadió iOS este año, así que ahora funciona en Windows, Mac, Android e iPhone, y una edición Comet Enterprise incorporó controles de administración. Dia, de The Browser Company, que Atlassian acordó comprar el año pasado, es un navegador para Mac construido en torno a respuestas sacadas de tus pestañas y tus apps de trabajo. El navegador es gratuito y sus planes de IA cuestan 20 $ o 100 $ al mes (precios de Dia). Opera Neon pasó a ser gratuito de descargar este año, con sus agentes integrados en un plan de 19,90 $ al mes. Brave Leo está probando un agente que solo se ejecuta en un perfil aparte. Y siguen llegando novatos, como Polar, de un ex ingeniero de Comet.
Claude in Chrome, de Anthropic, es una extensión y no un navegador, pero hace el mismo trabajo. Está incluida en todos los planes de pago de Claude y, desde su lanzamiento general, aprueba acciones por sí sola de forma predeterminada, con un clasificador que revisa cada una frente a lo que pediste (Anthropic).
| Producto | Función de agente | Plataformas | Qué necesitas para el agente |
|---|---|---|---|
| Chrome con Gemini | Auto browse | Windows, Mac, Chromebook Plus, Android | Google AI Pro (19,99 $/mes) o Ultra, en EE. UU. |
| Edge con Copilot | Browse with Copilot | Edge de escritorio | Microsoft 365 Premium (19,99 $/mes), en EE. UU. |
| App de escritorio de ChatGPT | Navegador integrado y navegador en la nube | App para Mac y Windows | Una cuenta de ChatGPT (los límites varían según el plan) |
| Perplexity Comet | Comet Assistant | Windows, Mac, Android, iOS | Gratis con límites de uso (Background Assistant se lanzó en Max) |
| Claude in Chrome | Agente en extensión | Solo Chrome de escritorio | Cualquier plan de pago de Claude |
| Opera Neon | Agentes integrados | Windows, Mac | Plan de 19,90 $/mes (plan gratuito si traes tu propio agente) |
| Dia | Respuestas entre pestañas (sin agente para sitios) | Mac (Windows, próximamente) | Navegador gratis, IA desde 20 $/mes |
Empieza por la columna de la derecha. El agente, la parte que actúa por ti, es la que cuesta dinero, tiene límites regionales y conlleva el riesgo. La parte de lectura es gratuita casi en todas partes.
Qué pasa cuando le das una tarea a un agente
Todos los modos de agente siguen el mismo bucle. Miran la página, deciden un paso, lo ejecutan, comprueban qué cambió y vuelven a empezar hasta que la tarea está hecha o llegan a un paso que tienen instrucciones de devolverte a ti.
Lo que ve el modelo se parece mucho a lo que ves tú. Browse with Copilot de Microsoft toma capturas de pantalla mientras trabaja, las guarda con tu conversación hasta 30 días, marca la pestaña que controla con un icono de cursor y te deja tomar el control en cualquier momento (Microsoft Support). En el caso de Amazon, el tribunal de apelaciones aceptó la versión de Perplexity de que el asistente de Comet se ejecuta en el dispositivo del usuario y que los servidores de Perplexity no hablan directamente con Amazon (un punto que Amazon ahora discute respecto a la app de iPhone).
El paso de preguntarte es el más importante, y cada proveedor traza esa línea en un sitio distinto. Google dice que el auto browse de Chrome se detiene antes de compras y publicaciones en redes sociales. Edge pregunta antes de compras, reservas, envío de correos y eliminación de eventos del calendario, y su agente no puede usar contraseñas guardadas, autocompletado ni datos de la cartera. Claude in Chrome antes preguntaba por defecto antes de cada acción. Ahora decide por su cuenta qué acciones son seguras, y si quieres que te pida confirmación cada vez, tienes que reactivar la aprobación manual en los ajustes.
Tareas que los modos de agente resuelven bien hoy
La lectura es donde estos navegadores se ganan el sueldo. Pídele al panel lateral que compare tres páginas de precios que tengas abiertas o que saque las condiciones de cancelación de una política larga, y tendrás la respuesta en segundos, sin coste extra en Chrome y Edge. Si eso es todo lo que necesitas, quizá te baste con un motor de respuestas, y nuestra comparativa de buscadores con IA cubre las opciones.
El lado del agente sirve para encargos con una meta clara. Según TechCrunch, los primeros testers de Google usaron auto browse para concertar citas, rellenar formularios tediosos, reunir documentos fiscales, pedir presupuestos a fontaneros y electricistas y presentar informes de gastos. Las demos de Google en Android reservan un aparcamiento a partir de los datos de una entrada de evento y cambian un pedido de comida para mascotas. La investigación en varios sitios también encaja. Un agente que abre diez páginas de proveedores y rellena una tabla comparativa ahorra tiempo de verdad, y si se equivoca, el coste es volver a revisar, no pedir un reembolso.
Todas comparten tres rasgos. La tarea es acotada, el resultado es fácil de verificar y un error sale barato. Polar dice que la mayoría de sus usuarios lo usan solo para automatizar y mantienen otro navegador para el día a día. Es un patrón sensato para cualquiera que pruebe un agente por primera vez.
Dónde sigue fallando la navegación con agentes
Las tasas de éxito en sitios web reales siguen siendo bajas. ClawBench, un benchmark de un equipo de investigación de 28 autores, ejecutó 153 tareas cotidianas, como compras, reservas de citas y solicitudes de empleo, en 144 plataformas reales, con una capa de interceptación que impedía que nada se llevara a cabo de verdad. El mejor de ocho modelos de frontera, Claude Sonnet 4.6, completó el 33,3 % (ClawBench). Las tareas exigen cosas como rellenar correctamente muchos campos de formulario detallados.
Después vienen la velocidad y el criterio. Un reseñador de TechCrunch que usó Atlas y Comet los calificó de una ligera ganancia de eficiencia, con la mayor parte del tiempo dedicada a ver al agente hacer clic despacio por un sitio web. La prueba de Wired con el auto browse de Chrome fue más dura. Al pedirle dos asientos de sinfónica en pasillo y fuera de la zona de orquesta, encontró dos asientos de 185 $ que estaban en pasillo y fuera de la orquesta, pero en filas distintas. Una petición para revisar campings estuvo corriendo 15 minutos, revisó uno y le dijo al reseñador que buscara el resto él mismo.
Los inicios de sesión y los pagos son puntos de parada deliberados. Chrome pregunta antes de usar tu Password Manager, y Edge for Business obliga a hacer una pausa en los campos de contraseña y tarjeta, así que sigues haciendo falta frente al teclado. Chrome también limita cuántas acciones de auto browse tienes al día, y Google no ha publicado la cifra.
Algunos sitios no quieren agentes en absoluto. eBay cambió su acuerdo de usuario para prohibir pedidos hechos sin revisión humana, según The Register. Cuando Amazon bloqueó al agente Muse de Meta, los usuarios vieron una ventana emergente que decía que el acceso continuado de un agente de IA no autorizado infringe sus Condiciones de Uso (más sobre Amazon abajo). La solución a largo plazo es una puerta adecuada para los agentes. Cloudflare permite que los agentes firmen sus peticiones para que los sitios web puedan reconocerlos, y el estándar propuesto WebMCP, que Chrome está probando, permite que un sitio exponga directamente a los agentes sus formularios y funciones. Expedia, Booking.com, Shopify, Etsy, Instacart y Target están entre las marcas que participan en la prueba inicial de Chrome.
Hasta que eso se extienda, espera que los agentes se rompan en sitios que cambian su diseño o los bloquean. Si necesitas una automatización fiable sobre un conjunto fijo de sitios, una herramienta con scripts del ranking de Automatización de navegador y web o un framework de código abierto como Browser Use suele encajar mejor, y nuestro explicativo sobre agentes de IA vs. herramientas de automatización trata ese equilibrio.
La prompt injection es el problema que nadie ha resuelto
Un agente lee páginas web para hacer su trabajo, y un modelo de lenguaje no puede separar de forma fiable el texto que lee de las instrucciones que sigue. Así que cualquiera que pueda poner palabras delante de tu agente puede intentar darle órdenes: el autor de una página web, una reseña de producto, un comentario de foro o un correo en tu bandeja de entrada.
La fila de abajo es lo que lo hace grave. El agente trabaja dentro de tus sesiones iniciadas, así que un agente secuestrado actúa como tú en tu correo, tu banco o las apps de tu empresa. Los investigadores de Brave lograron que Comet siguiera instrucciones ocultas como texto azul claro tenue sobre fondo amarillo dentro de una captura de pantalla, y demostraron que otro navegador con IA, Fellou, enviaba a su modelo el texto de una página con solo visitarla, de modo que las instrucciones visibles en la página anulaban la petición del usuario. Brave calificó la prompt injection indirecta como “un desafío sistémico al que se enfrenta toda la categoría de navegadores con IA” (Brave).
Otros equipos encontraron lo mismo. Trail of Bits auditó Comet antes de su lanzamiento y construyó cuatro exploits funcionales, entre ellos uno disfrazado de falso CAPTCHA, todos con el objetivo de copiar el Gmail del usuario a un servidor del atacante. OpenAI describió un ataque en el que texto oculto en un correo hizo que su agente enviara un mensaje de renuncia en lugar de redactar una respuesta de ausencia por oficina.
Los proveedores aseguran que sus defensas funcionan, y Anthropic ha publicado cifras de antes y después de sus propias pruebas.
Son pruebas de Anthropic con ataques elegidos por Anthropic. Con todas las salvaguardas activadas, informa de que no hubo ataques exitosos en tres de sus modelos más recientes y un 0,3 % en un cuarto, y aun así sigue llamando a la prompt injection “un blanco móvil”. Los resultados independientes se ven peores, aunque prueban agentes de código abierto distintos. Investigadores de NTU, ST Engineering, IBM Research y UIUC realizaron 3.168 intentos de ataque contra Browser Use y NanoBrowser con modelos GPT-5 y Gemini. Las inyecciones indirectas tuvieron éxito entre el 41,67 % y el 68,16 % de las veces, y ninguna configuración probada estuvo libre de fallos (CSO Online). Lasso Security burló el detector de inyecciones de código abierto de Perplexity, BrowseSafe, en el 36 % de los intentos con trucos tan simples como la codificación Base32.
Las empresas que construyen estos agentes son francas sobre el techo. OpenAI escribió que la prompt injection, como las estafas y la ingeniería social, “probablemente nunca se ‘resuelva’ del todo”, y el Centro Nacional de Ciberseguridad del Reino Unido ha dicho que quizá nunca pueda mitigarse por completo (TechCrunch). Gartner fue más allá el año pasado y dijo a sus clientes que los CISO deben bloquear todos los navegadores con IA en el futuro previsible.
Lo que hacen los proveedores es apilar capas. Google ejecuta un segundo modelo, el User Alignment Critic, que solo ve una descripción de cada acción planificada y nunca la página en bruto, y puede vetar acciones que no encajen con tu objetivo. Chrome también limita los sitios que el agente puede leer o en los que puede escribir en cada tarea y pregunta antes de ir a sitios bancarios o médicos (Google). Microsoft bloquea sitios de alto riesgo y mantiene a su agente lejos de contraseñas guardadas y datos de pago. Anthropic analiza el contenido de las páginas en busca de ataques y comprueba cada acción frente a tu petición, y Brave aísla a su agente en un perfil aparte. Nadie promete cero.
Amazon contra Perplexity: quién es responsable de los clics del agente
La batalla legal por las compras con agentes enfrenta a Amazon y Perplexity, y no ha terminado. Así está la situación.
Amazon demandó el año pasado, alegando que Comet accedió a cuentas de clientes sin permiso y se hizo pasar por un navegador Chrome normal después de que Amazon intentara bloquearlo. Un juez de distrito le dio la razón a principios de este año y prohibió a Comet acceder a cuentas de Amazon protegidas con contraseña. Después, el Noveno Circuito anuló esa orden. Sostuvo que el agente es “una herramienta, no una persona” según la ley, de modo que quien accede a Amazon es el comprador que lo dirige, y que era improbable que Amazon ganara con las leyes contra el hacking en las que se apoyaba (Technology & Marketing Law Blog). Más tarde, el tribunal de apelaciones rechazó revisar el caso.
Desde entonces, Amazon ha presentado una demanda enmendada en la que alega que la app de iPhone de Comet copiaba las cookies de sesión de Amazon de los clientes a los servidores en la nube de Perplexity, de modo que “ningún dispositivo de usuario toca los servidores de Amazon”, mientras que Perplexity le dijo al tribunal de apelaciones lo contrario. El escrito también cita una carta del abogado de Perplexity en la que dice que, “como muestra de buena fe”, Perplexity había desactivado temporalmente la función de asistente en Amazon.com en Comet para iOS (The Next Web). Son acusaciones de Amazon. Perplexity ha planteado la disputa como una cuestión de la libertad de los compradores para usar el software que elijan en sitios que tienen permitido visitar.
Para los usuarios, la sentencia tiene dos caras. Te trata como la parte que accede a un sitio, lo que significa que los términos del sitio siguen obligándote, y el tribunal señaló que Amazon puede hacer valer sus términos frente a sus propios clientes. Además, la opinión se limita a estos hechos, así que no da vía libre general a los agentes. Si lo que buscas son compras con agentes, muchas herramientas de nuestro ranking de asistentes de compras con IA están pensadas para que las ejecuten las propias tiendas, lo que esquiva la cuestión.
Una configuración segura que puedes aplicar hoy
Nada de esto significa que debas evitar los navegadores con IA. Significa que debes configurar uno como lo haría un equipo de seguridad, antes de la primera tarea.
- Dale al agente su propio perfil de navegador. Brave lo trae integrado. En Chrome, Edge o Comet, crea un perfil aparte solo con los inicios de sesión que el agente necesita y deja fuera tu banco, tu correo principal y tu gestor de contraseñas.
- Empieza sin sesión iniciada. El consejo de OpenAI para su propio agente era usar el modo sin sesión siempre que sea posible. Inicia sesión solo cuando la tarea lo requiera.
- Mantén las aprobaciones activadas. En Claude in Chrome, reactiva la aprobación manual para todo lo que vaya más allá de leer, y lee cada confirmación antes de hacer clic.
- Escribe tareas acotadas. OpenAI advirtió contra decirle al agente que tome cualquier acción que haga falta. Nombra el sitio, el objetivo y dónde debe detenerse.
- Mantenlo lejos del dinero, de las acciones guiadas por la bandeja de entrada y de las consolas de administración. En su lanzamiento piloto, Anthropic pidió a los testers que evitaran sitios con información financiera, legal, médica u otra información sensible.
- Vigila las primeras ejecuciones de principio a fin y luego limpia. Edge guarda las capturas del agente con tu conversación hasta 30 días, así que borra ese historial después de tareas privadas.
La versión corta cabe en una tarjeta.
La columna de la derecha enumera los atajos que la gente toma cuando unas cuantas ejecuciones salen bien. Los ataques publicados que vimos antes dependían todos de un agente con sesión iniciada en algo que valía la pena robar, así que la regla del perfil hace casi todo el trabajo.
Para una tarea concreta, usa el verificador de abajo. Hace seis preguntas, y basta una sola respuesta de alto riesgo para que ese paso siga en tus manos.
La mayoría de las tareas de investigación y comparación salen en verde o ámbar. Todo lo que paga, envía o lee tu bandeja de entrada con sesión iniciada en cuentas de trabajo sale en rojo, y es a propósito: deja que el agente reúna y redacte, y da tú el clic final.
Qué navegador te conviene, y una regla para equipos
Para particulares, la elección depende sobre todo de lo que ya pagas. Si solo quieres respuestas, no pagues por un agente, porque Gemini en Chrome y Copilot en Edge resumen páginas y comparan pestañas en sus niveles gratuitos. Si quieres un agente, Google AI Pro y Microsoft 365 Premium cuestan 19,99 $ al mes, y cada uno te pone uno dentro de un navegador que probablemente ya usas. Comet es la forma de probar un agente sin suscripción, siempre que tenga su propio perfil. El árbol de abajo cubre los casos comunes.
Una de esas respuestas merece una advertencia. Las aprobaciones automáticas de Claude in Chrome son cómodas para investigar y una mala opción predeterminada en cualquier sitio cercano al dinero o al correo.
Para equipos, la regla es más simple que el mercado: la lectura se permite en todas partes, las acciones de agente solo se ejecutan en una edición gestionada y solo en sitios que hayas aprobado. Los controles existen. El auto browse de Chrome está desactivado por defecto para usuarios gestionados de Workspace, y los administradores pueden activarlo con políticas que permiten o bloquean URL concretas (Chrome Enterprise Help). Edge for Business tiene una vista previa limitada, con licencia a través de Microsoft 365 Copilot, en la que TI elige los sitios en los que Copilot puede actuar y las reglas de datos de Purview siguen aplicándose. No se ofrece en el EEE. Comet Enterprise puede limitar el asistente a solo lectura o a dominios aprobados, y el plan Enterprise de Claude permite a los administradores restringir Claude in Chrome a dominios aprobados.
Esa última línea es una versión más acotada del consejo de Gartner con la que la mayoría de los equipos pueden vivir. Revisa la lista de sitios permitidos cada vez que un proveedor cambie sus valores predeterminados, algo que en 2026 ha ocurrido cada pocos meses. Para aprender de equipos que ejecutan agentes en el trabajo, mira agentes de IA en producción, y el ranking Top 250 AI Agents sigue el resto del panorama.
Preguntas frecuentes
¿Sigue disponible ChatGPT Atlas?
No. OpenAI cerró Atlas este año, menos de un año después de su lanzamiento en Mac. Si lo usabas, el agente ahora vive en la app de escritorio de ChatGPT para Mac y Windows, y una extensión de ChatGPT cubre las preguntas sobre la página dentro de Chrome.
¿Es gratis Perplexity Comet?
Sí, con límites de uso. Perplexity hizo Comet gratuito de descargar el año pasado, y ahora funciona en Windows, Mac, Android e iOS. Background Assistant, que ejecuta varias tareas a la vez mientras tú haces otra cosa, se lanzó como función del plan Max, el más alto.
¿Puede un navegador con IA comprar algo sin preguntarme?
Los principales están diseñados para preguntar primero. Chrome y Edge se detienen antes de las compras, y el agente de Edge no puede usar datos de pago guardados en absoluto. Claude in Chrome aprueba sin preguntar las acciones que su clasificador considera seguras, así que activa la aprobación manual si quieres una confirmación antes de cada paso.
¿Es legal dejar que un agente de IA compre en Amazon por mí?
El Noveno Circuito consideró improbable que Amazon ganara sus reclamaciones federales y californianas contra el hacking frente a Perplexity, porque el usuario que dirige al agente es quien accede al sitio. Eso no anula las Condiciones de Uso de Amazon, que según Amazon prohíben los agentes no autorizados, y la demanda sigue abierta. Cuando los términos de un sitio prohíben agentes, usar uno es un riesgo contractual que recae en ti.
¿Debería mi empresa bloquear los navegadores con IA?
Bloquea los no gestionados en los dispositivos de la empresa. Después, permite las ediciones gestionadas (Chrome con políticas de Workspace, Edge for Business, Comet Enterprise o el plan Enterprise de Claude) para leer, y aprueba las acciones de agente sitio por sitio.
¿Los navegadores con IA ven mis contraseñas?
Los proveedores dicen que el modelo no. Google afirma que sus modelos no están expuestos a Password Manager ni a los datos de tarjetas guardados, y Browse with Copilot de Microsoft no puede acceder a contraseñas guardadas, autocompletado ni datos de la cartera. Aun así, el agente actúa dentro de tus sesiones iniciadas, y por eso un perfil aparte importa más que dónde guardes tus contraseñas.