ИИ-браузеры в 2026 году: что умеют агенты и где они ошибаются

В 2026 году ИИ-браузеры хорошо справляются с одной задачей и многообещающе — со второй. Они достаточно надёжно читают, пересказывают и сравнивают содержимое открытых вкладок, чтобы пользоваться ими каждый день, а их агентные режимы уже умеют заполнять формы, собирать корзину или бронировать время на сайтах, где вы вошли в аккаунт. Но при этом они доводят до конца лишь меньшую часть реальных задач, работают медленно, и ни один вендор не утверждает, что победил prompt injection — атаку, которая превращает веб-страницу в инструкции для вашего агента.

В этом году категория изменилась. OpenAI закрыла браузер ChatGPT Atlas и перенесла агента в десктопное приложение ChatGPT. Microsoft убрала Copilot Mode в Edge. Google встроила в Chrome агента auto browse, Comet от Perplexity вышел на все четыре основные платформы, а Anthropic сделала Claude in Chrome общедоступным: действия, которые модель считает безопасными, он одобряет автоматически. А федеральный апелляционный суд постановил, что когда Comet делает покупки на Amazon, к компьютерам Amazon обращается сам покупатель.

Если вы решаете, пользоваться ли таким браузером на работе или разрешать ли это команде, важны два вопроса: какие задачи он доводит до конца и что может заставить его сделать вредоносная страница. В этом руководстве мы разбираем оба по документации вендоров и опубликованным исследованиям, а затем даём настройку, чекер задач, подборщик браузера и правило для команды.

Рынок ИИ-браузеров сжался до браузеров, которыми вы уже пользуетесь

В этом году агентные функции переехали в Chrome, Edge и чат-приложения, за которые люди и так платят. ChatGPT Atlas прожил меньше года. Он вышел на Mac в прошлом году, до Windows так и не добрался, а в этом году OpenAI его закрыла. Его возможности разошлись по трём направлениям: расширение ChatGPT для Chrome, которое отвечает на вопросы о текущей странице; встроенный браузер в десктопном приложении ChatGPT, который умеет входить на сайты и скачивать файлы; и облачный браузер на серверах OpenAI, где агент выполняет задачи удалённо (TechCrunch).

Microsoft приняла похожее решение. Она убрала Copilot Mode в Edge, а агентная функция, которая раньше называлась Copilot Actions, теперь зовётся Browse with Copilot: для неё нужна подписка Microsoft 365 Premium, и работает она только в десктопном Edge в США (Microsoft Edge Blog). Бесплатная часть Microsoft Copilot в Edge сохранила полезные функции чтения, в том числе ответы по нескольким открытым вкладкам сразу.

Google Gemini в Chrome, наоборот, расширился. Боковая панель, которая пересказывает страницы и сравнивает вкладки, в этом году появилась в Индии, Канаде и Новой Зеландии, а затем в Латинской Америке, Африке и на Ближнем Востоке. Агент — платное дополнение. Auto browse входит в Google AI Pro за $19,99 в месяц или в Google AI Ultra от $99,99 в месяц (тарифы Google AI), и пока работает только в США, на десктопе и Android.

Perplexity сделала Comet бесплатным в прошлом году, а в этом добавила iOS, так что теперь он работает на Windows, Mac, Android и iPhone, и появилась версия Comet Enterprise с административными настройками. Dia от The Browser Company, которую в прошлом году согласилась купить Atlassian, — браузер для Mac, построенный вокруг ответов по вашим вкладкам и рабочим приложениям. Сам браузер бесплатен, а тарифы с ИИ стоят $20 или $100 в месяц (цены Dia). Opera Neon в этом году стал бесплатным для скачивания, а встроенные агенты доступны по тарифу за $19,90 в месяц. Brave Leo тестирует агента, который работает только в отдельном профиле. Продолжают появляться и новички, например Polar от бывшего инженера Comet.

Claude in Chrome от Anthropic — это расширение, а не браузер, но задачу он решает ту же. Он входит в любой платный тариф Claude, а после общего релиза по умолчанию сам одобряет действия: классификатор сверяет каждое из них с вашим запросом (Anthropic).

Сначала смотрите на правый столбец. Агент — то есть часть, которая действует за вас, — стоит денег, имеет региональные ограничения и несёт риск. А вот «читающая» половина почти везде бесплатна.

Что происходит, когда вы поручаете агенту задачу

Все агентные режимы работают по одному циклу. Агент смотрит на страницу, выбирает один шаг, делает его, проверяет, что изменилось, и повторяет, пока задача не будет выполнена или он не дойдёт до шага, который ему велено передавать вам.

Модель видит почти то же, что и вы. Browse with Copilot от Microsoft делает скриншоты в процессе работы, хранит их вместе с вашим диалогом до 30 дней, помечает управляемую вкладку значком курсора и позволяет перехватить управление в любой момент (Microsoft Support). В деле Amazon апелляционный суд принял версию Perplexity: ассистент Comet работает на устройстве пользователя, а серверы самой Perplexity напрямую с Amazon не взаимодействуют (для приложения на iPhone Amazon теперь это оспаривает).

Важнее всего шаг, на котором агент спрашивает вас, и каждый вендор проводит эту черту по-своему. Google говорит, что auto browse в Chrome останавливается перед покупками и публикацией в соцсетях. Edge спрашивает перед покупками, бронированием, отправкой писем и удалением событий календаря, а его агент вообще не может использовать сохранённые пароли, автозаполнение и данные кошелька. Claude in Chrome раньше по умолчанию спрашивал перед каждым действием. Теперь он сам решает, какие действия безопасны, и если вы хотите подтверждать каждое, ручное одобрение нужно включить обратно в настройках.

С чем агентные режимы справляются хорошо

Чтение — вот где эти браузеры приносят реальную пользу. Попросите боковую панель сравнить три открытые страницы с ценами или вытащить условия отмены из длинной страницы с правилами — и ответ будет через несколько секунд, без доплаты в Chrome и Edge. Если вам нужно только это, может хватить и поисковика с ответами; варианты разобраны в нашем сравнении ИИ-поисковиков.

Агентная часть подходит для рутины с чётким финалом. По данным TechCrunch, ранние тестеры Google использовали auto browse, чтобы записываться на приём, заполнять нудные формы, собирать налоговые документы, получать предложения от сантехников и электриков и оформлять авансовые отчёты. В демо Google для Android агент бронирует парковку по данным с билета на мероприятие и меняет заказ корма для питомца. Подходит и исследование на нескольких сайтах. Агент, который открывает десять страниц поставщиков и заполняет сравнительную таблицу, реально экономит время, а ошибка стоит вам повторной проверки, а не возврата денег.

У всех этих задач три общие черты: она узкая, результат легко проверить, а ошибка обходится дёшево. Polar говорит, что большинство его пользователей запускают его только для автоматизации, а для повседневного сёрфинга держат другой браузер. Для тех, кто пробует агента впервые, это разумная схема.

Где агентный браузинг по-прежнему подводит

Доля успешных выполнений на живых сайтах всё ещё низкая. ClawBench — бенчмарк от команды из 28 авторов — прогнал 153 повседневные задачи вроде покупок, записи на приём и откликов на вакансии на 144 реальных платформах; слой перехвата не давал ничего завершиться по-настоящему. Лучшая из восьми передовых моделей, Claude Sonnet 4.6, выполнила 33,3% задач (ClawBench). В этих задачах нужно, например, правильно заполнить множество подробных полей формы.

Дальше идут скорость и здравый смысл. Обозреватель TechCrunch, работавший с Atlas и Comet, назвал их небольшим выигрышем в эффективности: большую часть времени уходит на то, чтобы смотреть, как агент неспешно кликает по сайту. Тест auto browse в Chrome от Wired был жёстче. Его попросили найти два места на симфонический концерт у прохода и вне партера, и он нашёл два места по $185, которые действительно были у прохода и вне партера, но в разных рядах. Просьба проверить кемпинги выполнялась 15 минут, агент проверил один и посоветовал автору поискать остальные самому.

Входы в аккаунты и платежи — намеренные точки остановки. Chrome спрашивает, прежде чем использовать ваш Password Manager, а Edge for Business принудительно останавливается на полях пароля и карты, так что вы всё равно нужны за клавиатурой. Кроме того, Chrome ограничивает число действий auto browse в день, а Google это число не публикует.

Некоторые сайты вообще не хотят видеть агентов. По данным The Register, eBay изменил пользовательское соглашение и запретил заказы, оформленные без проверки человеком. Когда Amazon заблокировал агента Muse от Meta, пользователи увидели всплывающее окно: дальнейший доступ неавторизованного ИИ-агента нарушает Условия использования (подробнее об Amazon ниже). Долгосрочное решение — нормальная «дверь» для агентов. Cloudflare позволяет агентам подписывать свои запросы, чтобы сайты могли их распознавать, а предложенный стандарт WebMCP, который тестирует Chrome, даёт сайту возможность напрямую открывать агентам свои формы и функции. Среди участников раннего теста Chrome — Expedia, Booking.com, Shopify, Etsy, Instacart и Target.

Пока это не распространилось, ожидайте, что агенты будут ломаться на сайтах, которые меняют вёрстку или блокируют их. Если вам нужна надёжная автоматизация на фиксированном наборе сайтов, лучше часто подходит скриптовый инструмент из раздела «Браузер и веб-автоматизация» или опенсорсный фреймворк вроде Browser Use; этот компромисс разбирает наша статья ИИ-агенты и инструменты автоматизации.

Prompt injection — проблема, которую никто не решил

Чтобы работать, агент читает веб-страницы, а языковая модель не умеет надёжно отличать читаемый текст от инструкций, которым она следует. Поэтому любой, кто может поместить слова перед вашим агентом, может попытаться ему приказывать: автор веб-страницы, отзыва на товар, комментария на форуме или письма в вашем ящике.

Серьёзной проблему делает нижний ряд схемы. Агент работает внутри ваших авторизованных сессий, поэтому перехваченный агент действует в вашей почте, банке или корпоративных приложениях от вашего имени. Исследователи Brave заставили Comet выполнить инструкции, спрятанные в скриншоте бледно-голубым текстом на жёлтом фоне, и показали, что другой ИИ-браузер, Fellou, отправляет текст страницы в модель просто при заходе на неё, из-за чего видимые на странице инструкции могут перебить запрос пользователя. Brave назвала косвенную prompt injection «системной проблемой всей категории браузеров на базе ИИ» (Brave).

К тому же выводу пришли и другие команды. Trail of Bits аудировала Comet до запуска и построила четыре рабочих эксплойта, в том числе замаскированный под фальшивую CAPTCHA; все они были нацелены на копирование Gmail пользователя на сервер атакующего. OpenAI описала атаку, в которой скрытый текст в письме заставил её агента отправить письмо об увольнении вместо черновика автоответа об отсутствии.

Вендоры уверяют, что их защита работает, а Anthropic опубликовала цифры «до и после» по результатам собственных тестов.

Это тесты Anthropic на атаках, которые выбрала Anthropic. Со всеми включёнными защитами компания сообщает об отсутствии успешных атак на три из своих новейших моделей и о 0,3% на четвёртой, но всё равно называет prompt injection «движущейся мишенью». Независимые результаты выглядят хуже, хотя там тестировали другие, опенсорсные агенты. Исследователи из NTU, ST Engineering, IBM Research и UIUC провели 3 168 попыток атаки на Browser Use и NanoBrowser с моделями GPT-5 и Gemini. Косвенные инъекции срабатывали в 41,67–68,16% случаев, и ни одна из протестированных конфигураций не обошлась без сбоев (CSO Online). Lasso Security обошла опенсорсный детектор инъекций Perplexity, BrowseSafe, в 36% попыток, используя такие простые приёмы, как кодирование в Base32.

Компании, которые делают этих агентов, открыто говорят о потолке. OpenAI написала, что prompt injection, как мошенничество и социальная инженерия, «вряд ли когда-либо будет полностью „решена"», а британский Национальный центр кибербезопасности заявил, что полностью устранить её, возможно, не получится никогда (TechCrunch). Gartner в прошлом году пошла дальше и сообщила клиентам, что CISO должны заблокировать все ИИ-браузеры на обозримое будущее.

Вместо этого вендоры выстраивают многоуровневую защиту. Google запускает вторую модель, User Alignment Critic, которая видит только описание каждого запланированного действия и никогда — саму страницу, и может наложить вето на действия, не соответствующие вашей цели. Chrome также ограничивает, какие сайты агент может читать и в какие вводить данные в рамках конкретной задачи, и спрашивает разрешения, прежде чем зайти на банковские или медицинские сайты (Google). Microsoft блокирует высокорисковые сайты и не подпускает агента к сохранённым паролям и платёжным данным. Anthropic сканирует содержимое страниц на атаки и сверяет каждое действие с вашим запросом, а Brave изолирует своего агента в отдельном профиле. Нулевого риска не обещает никто.

Amazon против Perplexity: кто отвечает за клики агента

Юридическая борьба вокруг агентного шопинга идёт между Amazon и Perplexity, и она не закончена. Вот текущее положение дел.

Amazon подала иск в прошлом году, утверждая, что Comet получал доступ к аккаунтам клиентов без разрешения и маскировался под обычный браузер Chrome после того, как Amazon попыталась его заблокировать. Окружной судья в начале этого года согласился и запретил Comet доступ к защищённым паролем аккаунтам Amazon. Затем Девятый округ отменил это постановление. Суд счёл, что агент — это «инструмент, а не лицо» с точки зрения закона, так что к Amazon обращается покупатель, который им управляет, и что у Amazon было мало шансов выиграть по антихакерским законам, на которые она опиралась (Technology & Marketing Law Blog). Позже апелляционный суд отказался пересматривать дело.

С тех пор Amazon подала дополненный иск, где утверждает, что приложение Comet для iPhone копировало сессионные cookie клиентов Amazon на облачные серверы Perplexity, так что «ни одно устройство пользователя не обращается к серверам Amazon», тогда как Perplexity сообщила апелляционному суду обратное. В иске также цитируется письмо юриста Perplexity, где говорится, что «в знак доброй воли» Perplexity временно отключила функцию ассистента на Amazon.com в Comet для iOS (The Next Web). Это утверждения Amazon. Perplexity представляет спор как вопрос о свободе покупателей пользоваться выбранным ими софтом на сайтах, которые им разрешено посещать.

Для пользователей это решение работает в обе стороны. Оно считает вас стороной, которая обращается к сайту, а значит, условия сайта по-прежнему вас связывают; кроме того, суд отметил, что Amazon может применять свои условия к собственным клиентам. Кроме того, постановление ограничено этими обстоятельствами, поэтому общей индульгенции агентам оно не даёт. Если вам нужен агентный шопинг, многие инструменты в нашем разделе ИИ-помощников для покупок рассчитаны на то, что их запускают сами магазины, и этот вопрос так обходится.

Безопасная настройка, которую можно применить сегодня

Из всего этого не следует, что ИИ-браузеров нужно избегать. Следует, что настраивать их стоит так, как это сделала бы служба безопасности, до первой же задачи.

1. 1Заведите агенту отдельный профиль браузера. В Brave это встроено. В Chrome, Edge или Comet создайте отдельный профиль, где будут только нужные агенту логины, а банк, основную почту и менеджер паролей в него не добавляйте.
2. 2Начинайте без авторизации. Совет OpenAI для её агента — по возможности использовать режим без входа в аккаунты. Входите, только когда этого требует задача.
3. 3Не отключайте подтверждения. В Claude in Chrome включите ручное одобрение для всего, кроме чтения, и читайте каждое подтверждение, прежде чем нажать.
4. 4Формулируйте узкие задачи. OpenAI предостерегала от указаний вроде «делай любые нужные действия». Назовите сайт, цель и место, где агент должен остановиться.
5. 5Держите его подальше от денег, действий, запускаемых из входящей почты, и админ-консолей. При пилотном запуске Anthropic советовала тестерам избегать сайтов с финансовой, юридической, медицинской и другой чувствительной информацией.
6. 6Первые запуски наблюдайте от начала до конца, затем подчищайте за собой. Edge хранит скриншоты агента вместе с вашим диалогом до 30 дней, поэтому после личных задач удаляйте эту историю.

Коротко всё умещается на одной карточке.

В правом столбце перечислены поблажки, которые люди себе позволяют после нескольких удачных запусков. Все опубликованные выше атаки строились на том, что агент был авторизован там, где есть что украсть, поэтому основную работу делает правило про отдельный профиль.

Для конкретной задачи воспользуйтесь чекером ниже. Он задаёт шесть вопросов, и одного ответа с высоким риском достаточно, чтобы этот шаг остался за вами.

Большинство задач на исследование и сравнение получают зелёный или жёлтый свет. Всё, что платит, отправляет или читает вашу почту при входе в рабочие аккаунты, получает красный, и это сделано намеренно: пусть агент собирает информацию и готовит черновики, а последний клик вы делаете сами.

Какой браузер выбрать и правило для команд

Для отдельных пользователей выбор в основном определяется тем, за что вы и так платите. Если вам нужны только ответы, за агента платить не стоит: Gemini в Chrome и Copilot в Edge пересказывают страницы и сравнивают вкладки на бесплатных тарифах. Если нужен агент, Google AI Pro и Microsoft 365 Premium стоят одинаково — $19,99 в месяц, и каждый даёт агента в браузере, которым вы, скорее всего, уже пользуетесь. Comet — способ попробовать агента без подписки, при условии что у него будет отдельный профиль. Типичные случаи разобраны в дереве ниже.

К одному из этих вариантов нужно предупреждение. Автоматические одобрения в Claude in Chrome удобны для исследований, но в качестве настройки по умолчанию не годятся там, где речь о деньгах или почте.

Для команд правило проще, чем рынок: читать разрешено везде, а действия агента выполняются только в управляемой редакции и только на одобренных вами сайтах. Инструменты для этого есть. Auto browse в Chrome по умолчанию выключен для управляемых пользователей Workspace, а администраторы могут включить его политиками, которые разрешают или блокируют конкретные URL (Chrome Enterprise Help). В Edge for Business есть ограниченный предварительный доступ по лицензии Microsoft 365 Copilot: IT сам выбирает сайты, на которых Copilot может действовать, а правила данных Purview продолжают работать. В EEA он не предлагается. Comet Enterprise может ограничить ассистента режимом «только чтение» или списком утверждённых доменов, а тариф Claude Enterprise позволяет администраторам ограничить Claude in Chrome утверждёнными доменами.

Последняя строка — более узкая версия совета Gartner, с которой большинство команд смогут жить. Пересматривайте белый список всякий раз, когда вендор меняет настройки по умолчанию, а в 2026 году это происходило каждые несколько месяцев. Об опыте команд, которые запускают агентов в работе, читайте в материале ИИ-агенты в продакшене, а за всей отраслью следит рейтинг Top 250 AI Agents.

Частые вопросы

ChatGPT Atlas ещё доступен?

Нет. OpenAI закрыла Atlas в этом году, меньше чем через год после запуска на Mac. Если вы им пользовались, агент теперь живёт в десктопном приложении ChatGPT для Mac и Windows, а вопросы о страницах в Chrome закрывает расширение ChatGPT.

Comet от Perplexity бесплатный?

Да, с лимитами использования. Perplexity сделала Comet бесплатным для скачивания в прошлом году, и теперь он работает на Windows, Mac, Android и iOS. Background Assistant, который выполняет несколько задач одновременно, пока вы занимаетесь другим, запустили как функцию высшего тарифа Max.

Может ли ИИ-браузер что-то купить, не спросив меня?

Основные браузеры устроены так, чтобы сначала спрашивать. Chrome и Edge останавливаются перед покупками, а агент Edge вообще не может использовать сохранённые платёжные данные. Claude in Chrome без вопросов одобряет действия, которые его классификатор считает безопасными, поэтому, если хотите подтверждение перед каждым шагом, включите ручное одобрение.

Законно ли поручать ИИ-агенту покупки на Amazon?

Девятый округ счёл, что у Amazon мало шансов выиграть по федеральным и калифорнийским антихакерским претензиям к Perplexity, потому что к сайту обращается пользователь, который управляет агентом. Это не отменяет Условий использования Amazon, которые, по словам Amazon, запрещают неавторизованных агентов, а иск по-прежнему открыт. Если условия сайта запрещают агентов, их использование — договорный риск, который ложится на вас.

Нужно ли моей компании блокировать ИИ-браузеры?

Блокируйте неуправляемые на корпоративных устройствах. Затем разрешите управляемые редакции (Chrome с политиками Workspace, Edge for Business, Comet Enterprise или тариф Claude Enterprise) для чтения и одобряйте действия агента по каждому сайту отдельно.

Видят ли ИИ-браузеры мои пароли?

Вендоры говорят, что модель их не видит. Google заявляет, что её модели не имеют доступа к Password Manager и сохранённым данным карт, а Browse with Copilot от Microsoft не может обращаться к сохранённым паролям, автозаполнению и данным кошелька. Но агент всё равно действует внутри ваших авторизованных сессий, поэтому отдельный профиль важнее, чем то, где хранятся ваши пароли.