Os navegadores com IA em 2026 são bons em uma tarefa e promissores em outra. Eles leem, resumem e comparam o conteúdo das suas abas abertas bem o bastante para uso diário, e os modos de agente já conseguem preencher formulários, montar um carrinho de compras ou reservar um horário em sites nos quais você está logado. Por outro lado, concluem só uma minoria das tarefas reais, são lentos, e nenhum fornecedor afirma ter resolvido a prompt injection, o ataque que transforma uma página da web em instruções para o seu agente.
A categoria mudou de formato este ano. A OpenAI encerrou o navegador ChatGPT Atlas e levou o agente para o app desktop do ChatGPT. A Microsoft aposentou o Copilot Mode no Edge. O Google colocou um agente chamado auto browse dentro do Chrome, o Comet da Perplexity chegou às quatro grandes plataformas, e a Anthropic lançou o Claude in Chrome em disponibilidade geral, aprovando automaticamente as ações que considera seguras. Enquanto isso, um tribunal federal de apelações decidiu que, quando o Comet faz compras na Amazon, quem está acessando os computadores da Amazon é o comprador.
Se você está decidindo se usa um desses navegadores no trabalho, ou se deixa seu time usar, duas coisas importam: quais tarefas ele conclui e o que uma página maliciosa consegue fazer com ele. Este guia analisa as duas questões com base na documentação dos fornecedores e em pesquisas publicadas, e entrega uma configuração, um verificador de tarefas, um seletor de navegador e uma regra para equipes.
O mercado de navegadores com IA encolheu e ficou nos navegadores que você já usa
Os recursos de agente migraram este ano para o Chrome, o Edge e os apps de chat que as pessoas já pagam. O ChatGPT Atlas durou menos de um ano. Foi lançado no Mac no ano passado, nunca chegou ao Windows e a OpenAI o aposentou este ano. Seus recursos foram divididos em três: uma extensão do ChatGPT para o Chrome que responde perguntas sobre a página em que você está, um navegador integrado ao app desktop do ChatGPT que consegue fazer login em sites e baixar arquivos, e um navegador na nuvem, nos servidores da OpenAI, em que o agente executa tarefas remotamente (TechCrunch).
A Microsoft tomou uma decisão parecida. Aposentou o Copilot Mode no Edge, e o recurso de agente antes chamado de Copilot Actions agora é o Browse with Copilot, que exige uma assinatura do Microsoft 365 Premium e funciona apenas no Edge para desktop nos EUA (Microsoft Edge Blog). A versão gratuita do Microsoft Copilot no Edge manteve os recursos úteis de leitura, incluindo respostas que combinam várias abas abertas ao mesmo tempo.
O Google Gemini no Chrome, ao contrário, cresceu. O painel lateral que resume páginas e compara abas se expandiu este ano para Índia, Canadá e Nova Zelândia, e depois para América Latina, África e Oriente Médio. O agente é um extra pago. O auto browse vem com o Google AI Pro, a US$ 19,99 por mês, ou com o Google AI Ultra, a partir de US$ 99,99 por mês (planos Google AI), e por enquanto só funciona nos EUA, em desktop e Android.
A Perplexity tornou o Comet gratuito no ano passado e adicionou o iOS este ano, então ele agora roda em Windows, Mac, Android e iPhone, e uma edição Comet Enterprise trouxe controles de administração. O Dia, da The Browser Company, que a Atlassian concordou em comprar no ano passado, é um navegador para Mac construído em torno de respostas tiradas das suas abas e dos seus apps de trabalho. O navegador é gratuito e os planos de IA custam US$ 20 ou US$ 100 por mês (preços do Dia). O Opera Neon passou a ser gratuito para baixar este ano, com os agentes integrados num plano mensal de US$ 19,90. O Brave Leo está testando um agente que roda só em um perfil separado. Novos concorrentes também continuam surgindo, como o Polar, de um ex-engenheiro do Comet.
O Claude in Chrome, da Anthropic, é uma extensão e não um navegador, mas faz o mesmo trabalho. Está incluído em todos os planos pagos do Claude e, desde o lançamento geral, aprova ações por conta própria por padrão, com um classificador conferindo cada uma delas com o seu pedido (Anthropic).
| Produto | Recurso de agente | Plataformas | O que você precisa para o agente |
|---|---|---|---|
| Chrome com Gemini | Auto browse | Windows, Mac, Chromebook Plus, Android | Google AI Pro (US$ 19,99/mês) ou Ultra, nos EUA |
| Edge com Copilot | Browse with Copilot | Edge para desktop | Microsoft 365 Premium (US$ 19,99/mês), nos EUA |
| App desktop do ChatGPT | Navegador integrado e navegador na nuvem | App para Mac e Windows | Uma conta do ChatGPT (limites variam por plano) |
| Perplexity Comet | Comet Assistant | Windows, Mac, Android, iOS | Grátis com limites de uso (Background Assistant lançado no Max) |
| Claude in Chrome | Agente em extensão | Somente Chrome para desktop | Qualquer plano pago do Claude |
| Opera Neon | Agentes integrados | Windows, Mac | Plano de US$ 19,90/mês (plano gratuito se você trouxer seu próprio agente) |
| Dia | Respostas entre abas (sem agente para sites listado) | Mac (Windows listado como em breve) | Navegador grátis, IA a partir de US$ 20/mês |
Comece pela coluna da direita. O agente, a parte que age por você, é a que custa dinheiro, tem restrições regionais e carrega o risco. A parte de leitura é gratuita quase em todo lugar.
O que acontece quando você entrega uma tarefa a um agente
Todo modo de agente segue o mesmo ciclo. Ele olha a página, decide um passo, executa, confere o que mudou e repete até concluir a tarefa ou chegar a uma etapa que foi instruído a devolver para você.
O que o modelo enxerga é parecido com o que você enxerga. O Browse with Copilot, da Microsoft, tira capturas de tela enquanto trabalha, guarda essas imagens junto com a sua conversa por até 30 dias, marca a aba que controla com um ícone de cursor e permite que você assuma o controle a qualquer momento (Microsoft Support). No caso da Amazon, o tribunal de apelações aceitou a versão da Perplexity de que o assistente do Comet roda no dispositivo do usuário e de que os servidores da própria Perplexity não se comunicam diretamente com a Amazon (um ponto que a Amazon agora contesta para o app de iPhone).
A etapa de pedir confirmação é a mais importante, e cada fornecedor traça essa linha em um lugar diferente. O Google diz que o auto browse do Chrome pausa antes de compras e de postagens em redes sociais. O Edge pergunta antes de compras, reservas, envio de e-mail e exclusão de eventos da agenda, e seu agente não pode usar senhas salvas, preenchimento automático nem dados da carteira. O Claude in Chrome costumava perguntar antes de toda ação por padrão. Agora ele decide quais ações são seguras, e você precisa reativar a aprovação manual nas configurações se quiser ser consultado a cada vez.
Tarefas que os modos de agente já fazem bem
A leitura é onde esses navegadores se justificam. Peça ao painel lateral para comparar três páginas de preços que você deixou abertas ou extrair as regras de cancelamento de uma página de política longa, e você tem a resposta em segundos, sem custo extra no Chrome e no Edge. Se é só disso que você precisa, um buscador de respostas pode bastar, e nossa comparação de buscadores com IA cobre as opções.
O lado do agente funciona bem para tarefas com linha de chegada clara. Os primeiros testadores do Google usaram o auto browse para marcar consultas, preencher formulários tediosos, reunir documentos fiscais, pedir orçamentos a encanadores e eletricistas e enviar relatórios de despesas, segundo o TechCrunch. As demos do Google para Android reservam estacionamento a partir dos dados do ingresso de um evento e alteram um pedido de ração para pets. Pesquisa em vários sites também funciona. Um agente que abre dez páginas de fornecedores e preenche uma tabela comparativa economiza tempo de verdade, e um erro custa uma nova conferência, não um reembolso.
Todas essas tarefas têm três características em comum. A tarefa é restrita, o resultado é fácil de verificar e um erro sai barato. A Polar diz que a maioria dos usuários a usa só para automação e mantém outro navegador para a navegação do dia a dia. É um padrão sensato para quem está testando um agente pela primeira vez.
Onde a navegação com agentes ainda falha
As taxas de sucesso em sites reais ainda são baixas. O ClawBench, um benchmark criado por uma equipe de pesquisa com 28 autores, rodou 153 tarefas cotidianas, como compras, agendamentos e candidaturas a vagas, em 144 plataformas reais, com uma camada de interceptação que impedia que qualquer coisa fosse concluída de verdade. O melhor de oito modelos de ponta, o Claude Sonnet 4.6, completou 33,3% delas (ClawBench). As tarefas exigem coisas como preencher corretamente muitos campos detalhados de formulário.
Depois vêm a velocidade e o julgamento. Um revisor do TechCrunch que usou o Atlas e o Comet os chamou de um pequeno ganho de eficiência, com a maior parte do tempo gasta vendo o agente clicar devagar pelo site. O teste da Wired com o auto browse do Chrome foi mais duro. Pedindo dois lugares de sinfônica no corredor e fora da área da orquestra, ele encontrou dois assentos de US$ 185 que ficavam no corredor e fora da área da orquestra, mas em fileiras diferentes. Um pedido para verificar campings rodou por 15 minutos, checou um e mandou o revisor pesquisar o resto por conta própria.
Logins e pagamentos são pontos de parada propositais. O Chrome pergunta antes de usar seu Gerenciador de Senhas, e o Edge for Business força uma pausa nos campos de senha e de cartão, então você continua sendo necessário no teclado. O Chrome também limita quantas ações de auto browse você tem por dia, e o Google não divulgou o número.
Alguns sites não querem agentes de jeito nenhum. O eBay alterou seu contrato de usuário para proibir pedidos feitos sem revisão humana, segundo o The Register. Quando a Amazon bloqueou o agente Muse da Meta, os usuários viram um pop-up dizendo que o acesso continuado por um agente de IA não autorizado viola suas Condições de Uso (mais sobre a Amazon abaixo). A solução de longo prazo é uma porta de entrada própria para agentes. A Cloudflare permite que agentes assinem suas requisições para que os sites possam reconhecê-los, e o padrão proposto WebMCP, que o Chrome está testando, permite que um site exponha seus formulários e funções diretamente aos agentes. Expedia, Booking.com, Shopify, Etsy, Instacart e Target estão entre as marcas envolvidas no teste inicial do Chrome.
Até isso se espalhar, espere que os agentes quebrem em sites que mudam o layout ou os bloqueiam. Se você precisa de uma automação confiável em um conjunto fixo de sites, uma ferramenta baseada em scripts do ranking de Automação de Navegador e Web ou um framework de código aberto como o Browser Use costuma ser a melhor escolha, e nosso artigo sobre agentes de IA vs. ferramentas de automação explica essa troca.
Prompt injection é o problema que ninguém resolveu
Um agente lê páginas da web para fazer seu trabalho, e um modelo de linguagem não consegue separar de forma confiável o texto que está lendo das instruções que está seguindo. Assim, qualquer pessoa que consiga colocar palavras diante do seu agente pode tentar dar ordens a ele: o autor de uma página, uma avaliação de produto, um comentário de fórum ou um e-mail na sua caixa de entrada.
A linha de baixo é o que torna isso sério. O agente trabalha dentro das suas sessões logadas, então um agente sequestrado age no seu e-mail, no banco ou nos apps da empresa como se fosse você. Pesquisadores da Brave fizeram o Comet seguir instruções escondidas como um texto azul-claro quase invisível sobre fundo amarelo dentro de uma captura de tela, e mostraram que outro navegador com IA, o Fellou, enviava o texto de uma página ao seu modelo só por visitá-la, deixando instruções visíveis na página sobrepor o pedido do usuário. A Brave chamou a prompt injection indireta de “um desafio sistêmico enfrentado por toda a categoria de navegadores com IA” (Brave).
Outras equipes chegaram à mesma conclusão. A Trail of Bits auditou o Comet antes do lançamento e criou quatro exploits funcionais, incluindo um disfarçado de CAPTCHA falso, todos voltados a copiar o Gmail do usuário para o servidor de um atacante. A OpenAI descreveu um ataque em que um texto escondido em um e-mail fez seu agente enviar uma carta de demissão em vez de redigir uma resposta automática de ausência.
Os fornecedores dizem que suas defesas funcionam, e a Anthropic publicou números de antes e depois dos seus próprios testes.
São testes da Anthropic, com ataques escolhidos pela Anthropic. Com todas as proteções ativadas, ela relata nenhum ataque bem-sucedido em três dos seus modelos mais novos e 0,3% em um quarto, e mesmo assim chama a prompt injection de “um alvo em movimento”. Os resultados independentes parecem piores, embora testem agentes diferentes, de código aberto. Pesquisadores da NTU, ST Engineering, IBM Research e UIUC executaram 3.168 tentativas de ataque contra o Browser Use e o NanoBrowser rodando modelos GPT-5 e Gemini. As injeções indiretas tiveram sucesso entre 41,67% e 68,16% das vezes, e nenhuma configuração testada ficou livre de falhas (CSO Online). A Lasso Security driblou o detector de injeção de código aberto da Perplexity, o BrowseSafe, em 36% das tentativas, com truques tão simples quanto codificação em Base32.
As empresas que constroem esses agentes são francas sobre o limite. A OpenAI escreveu que a prompt injection, como golpes e engenharia social, “dificilmente será totalmente ‘resolvida’”, e o National Cyber Security Centre do Reino Unido disse que ela pode nunca ser totalmente mitigada (TechCrunch). O Gartner foi além no ano passado e disse aos clientes que os CISOs devem bloquear todos os navegadores com IA num futuro previsível.
O que os fornecedores fazem, em vez disso, é empilhar camadas. O Google roda um segundo modelo, o User Alignment Critic, que vê apenas uma descrição de cada ação planejada e nunca a página bruta, e pode vetar ações que não combinem com o seu objetivo. O Chrome também limita em quais sites o agente pode ler ou digitar em cada tarefa e pergunta antes de ir a sites de bancos ou de saúde (Google). A Microsoft bloqueia sites de alto risco e mantém seu agente longe de senhas salvas e dados de pagamento. A Anthropic examina o conteúdo das páginas em busca de ataques e confere cada ação com o seu pedido, e a Brave isola o agente em um perfil separado. Ninguém promete zero.
Amazon v. Perplexity: quem responde pelos cliques do agente
A disputa jurídica sobre compras feitas por agentes é entre a Amazon e a Perplexity, e ainda não terminou. Veja em que pé está.
A Amazon processou a Perplexity no ano passado, alegando que o Comet acessou contas de clientes sem permissão e se disfarçou de navegador Chrome comum depois que a Amazon tentou bloqueá-lo. Um juiz distrital concordou no início deste ano e proibiu o Comet de acessar contas da Amazon protegidas por senha. O Nono Circuito então anulou essa ordem. Considerou que o agente é “uma ferramenta, não uma pessoa” nos termos da lei, de modo que quem acessa a Amazon é o comprador que o comanda, e que a Amazon dificilmente venceria com base nas leis antihacking que invocou (Technology & Marketing Law Blog). O tribunal de apelações depois recusou rever o caso.
Desde então, a Amazon apresentou uma queixa emendada alegando que o app do Comet para iPhone copiou cookies de sessão da Amazon dos clientes para os servidores em nuvem da Perplexity, de modo que “nenhum dispositivo de usuário toca os servidores da Amazon”, enquanto a Perplexity disse ao tribunal de apelações o oposto. O documento também cita uma carta do advogado da Perplexity dizendo que, “como gesto de boa-fé”, a Perplexity havia desativado temporariamente o recurso de assistente na Amazon.com no Comet para iOS (The Next Web). Essas são alegações da Amazon. A Perplexity apresentou a disputa como uma questão de liberdade dos compradores para usar o software que escolherem em sites que têm permissão para visitar.
Para os usuários, a decisão corta para os dois lados. Ela trata você como a parte que acessa um site, o que significa que os termos do site continuam valendo para você, e o tribunal observou que a Amazon pode aplicar seus termos contra os próprios clientes. A decisão também se limita a esses fatos, então não dá aos agentes um passe livre geral. Se o objetivo são compras por agente, muitas ferramentas do nosso ranking de assistentes de compras com IA são feitas para as próprias lojas operarem, o que contorna a questão.
Uma configuração segura que você pode aplicar hoje
Nada disso significa que você deva evitar navegadores com IA. Significa que você deve configurar um do jeito que um time de segurança faria, antes da primeira tarefa.
- Dê ao agente seu próprio perfil de navegador. A Brave já faz isso nativamente. No Chrome, no Edge ou no Comet, crie um perfil separado só com os logins de que o agente precisa e deixe seu banco, seu e-mail principal e seu gerenciador de senhas de fora.
- Comece deslogado. A recomendação da OpenAI para o próprio agente era usar o modo deslogado sempre que possível. Entre em uma conta só quando a tarefa exigir.
- Mantenha as aprovações ligadas. No Claude in Chrome, reative a aprovação manual para qualquer coisa além de leitura e leia cada confirmação antes de clicar.
- Escreva tarefas restritas. A OpenAI alertou contra mandar o agente tomar qualquer ação necessária. Diga o site, o objetivo e onde ele deve parar.
- Mantenha-o longe de dinheiro, de ações guiadas pela caixa de entrada e de consoles de administração. No lançamento piloto, a Anthropic recomendou aos testadores evitar sites com informações financeiras, jurídicas, médicas ou outras informações sensíveis.
- Acompanhe as primeiras execuções do início ao fim e depois limpe. O Edge guarda as capturas de tela do agente com a sua conversa por até 30 dias, então apague esse histórico depois de tarefas privadas.
A versão curta cabe em um cartão.
A coluna da direita lista os atalhos que as pessoas pegam depois que algumas execuções dão certo. Todos os ataques publicados acima dependiam de um agente logado em algo que valia a pena roubar, então a regra do perfil separado faz a maior parte do trabalho.
Para uma tarefa específica, use o verificador abaixo. Ele faz seis perguntas, e uma única resposta de alto risco já basta para manter aquela etapa nas suas mãos.
A maioria das tarefas de pesquisa e comparação sai verde ou âmbar. Tudo que paga, envia ou lê sua caixa de entrada enquanto você está logado em contas de trabalho sai vermelho, e isso é de propósito: deixe o agente coletar e redigir, e dê você mesmo o clique final.
Qual navegador serve e uma regra para equipes
Para pessoas físicas, a escolha segue basicamente o que você já paga. Se você só quer respostas, não pague por um agente, porque o Gemini no Chrome e o Copilot no Edge resumem páginas e comparam abas nos planos gratuitos. Se você quer um agente, o Google AI Pro e o Microsoft 365 Premium custam US$ 19,99 por mês e cada um coloca um agente em um navegador que você provavelmente já usa. O Comet é a forma de experimentar um agente sem assinatura, desde que ele tenha o próprio perfil. A árvore abaixo cobre os casos mais comuns.
Uma dessas respostas merece um aviso. As aprovações automáticas do Claude in Chrome são cômodas para pesquisa e o padrão errado em qualquer situação perto de dinheiro ou e-mail.
Para equipes, a regra é mais simples do que o mercado: leitura liberada em todo lugar, ações de agente só em uma edição gerenciada e só em sites que você aprovou. Os controles existem. O auto browse do Chrome vem desativado por padrão para usuários gerenciados do Workspace, e os administradores podem ativá-lo com políticas que permitem ou bloqueiam URLs específicas (Chrome Enterprise Help). O Edge for Business tem uma prévia limitada, licenciada pelo Microsoft 365 Copilot, em que a TI escolhe os sites em que o Copilot pode agir e as regras de dados do Purview continuam valendo. Ela não é oferecida no EEE. O Comet Enterprise pode travar o assistente em modo somente leitura ou em domínios aprovados, e o plano Enterprise do Claude permite que os administradores limitem o Claude in Chrome a domínios aprovados.
Essa última linha é uma versão mais restrita do conselho do Gartner, com a qual a maioria das equipes consegue conviver. Revise a lista de sites permitidos sempre que um fornecedor mudar seus padrões, o que em 2026 aconteceu a cada poucos meses. Para lições de equipes que usam agentes no trabalho, veja agentes de IA em produção, e o ranking Top 250 AI Agents acompanha o restante do cenário.
Perguntas frequentes
O ChatGPT Atlas ainda está disponível?
Não. A OpenAI encerrou o Atlas este ano, menos de um ano depois do lançamento no Mac. Se você o usava, o agente agora vive no app desktop do ChatGPT para Mac e Windows, e uma extensão do ChatGPT cobre as perguntas sobre páginas dentro do Chrome.
O Perplexity Comet é gratuito?
Sim, com limites de uso. A Perplexity tornou o Comet gratuito para baixar no ano passado, e ele agora roda em Windows, Mac, Android e iOS. O Background Assistant, que executa várias tarefas ao mesmo tempo enquanto você faz outra coisa, foi lançado como recurso do plano Max, o mais alto.
Um navegador com IA pode comprar algo sem me perguntar?
Os mais populares são feitos para perguntar antes. O Chrome e o Edge pausam antes de compras, e o agente do Edge não pode usar dados de pagamento salvos. O Claude in Chrome aprova sem perguntar as ações que seu classificador considera seguras, então ative a aprovação manual se quiser uma confirmação antes de cada passo.
É legal deixar um agente de IA comprar na Amazon por mim?
O Nono Circuito considerou improvável que a Amazon vença suas alegações federais e californianas de antihacking contra a Perplexity, porque quem acessa o site é o usuário que comanda o agente. Isso não anula as Condições de Uso da Amazon, que, segundo a empresa, proíbem agentes não autorizados, e o processo continua aberto. Quando os termos de um site proíbem agentes, usar um é um risco contratual que recai sobre você.
Minha empresa deve bloquear navegadores com IA?
Bloqueie os não gerenciados nos dispositivos da empresa. Depois, libere as edições gerenciadas (Chrome com políticas do Workspace, Edge for Business, Comet Enterprise ou o plano Enterprise do Claude) para leitura e aprove as ações de agente site por site.
Os navegadores com IA enxergam minhas senhas?
Os fornecedores dizem que o modelo não enxerga. O Google diz que seus modelos não têm acesso ao Gerenciador de Senhas nem aos dados de cartões salvos, e o Browse with Copilot, da Microsoft, não alcança senhas salvas, preenchimento automático nem dados da carteira. O agente ainda age dentro das suas sessões logadas, e é por isso que um perfil separado importa mais do que o lugar onde suas senhas ficam guardadas.