Claude in Chrome diventa generalmente disponibile, con avvertenze sulla prompt injection

Anthropic ha portato Claude in Chrome dall'anteprima limitata alla disponibilità generale. Le note di rilascio di Claude Code del 2 luglio elencano la versione 2.1.198 con la riga "Claude in Chrome launched as generally available", insieme alle notifiche in background e a un handoff di PR in bozza per i flussi di lavoro degli agenti. Chiude un lungo rilascio: l'estensione è partita come research preview ad agosto 2025, si è aperta a tutti i piani a pagamento a dicembre 2025 e ora raggiunge la disponibilità generale.

Cosa fa

L'estensione permette a Claude di agire all'interno del tuo browser, invece di limitarsi a rispondere a domande sul suo contenuto. Secondo la pagina prodotto di Anthropic, Claude può "navigare, cliccare pulsanti e compilare moduli su Chrome" — estraendo numeri da una dashboard di analytics, organizzando file su Google Drive o registrando una chiamata di vendita in un CRM senza che tu debba cambiare scheda. Si collega inoltre a Claude Code, così un agente può pilotare una pagina live come parte di un ciclo di sviluppo o di test, e a Cowork per trasformare la ricerca sul web in documenti finiti.

Per chi sviluppa software, la parte utile è il ciclo di feedback: un agente in grado di aprire la tua app in un browser reale, cliccare attraverso un flusso e leggere ciò che è stato effettivamente renderizzato può verificare le proprie modifiche invece di tirare a indovinare.

L'avvertenza sulla sicurezza è in primo piano

Anthropic è insolitamente schietta sul rischio. La stessa pagina prodotto avverte che "malintenzionati potrebbero cercare di ingannare Claude inducendolo ad azioni indesiderate, come condividere i dati bancari o eliminare file importanti" — una categoria di attacco chiamata prompt injection, in cui istruzioni nascoste in una pagina o in un documento dirottano il compito dell'agente. Anthropic invita gli utenti a iniziare da siti affidabili, a rivedere le azioni sensibili prima di approvarle e a prestare attenzione a comportamenti insoliti, aggiungendo chiaramente che le protezioni "non sono infallibili".

Queste avvertenze si fondano sul red-teaming della stessa azienda. Quando Anthropic ha avviato per la prima volta la sperimentazione dell'estensione, Claude ha compiuto un'azione malevola nel 23,6% di 123 scenari di attacco in assenza di protezioni; difese stratificate hanno ridotto quel dato all'11,2% complessivo, e una specifica categoria di exploit sui campi dei moduli è scesa dal 35,7% allo 0%. Meglio, ma non a zero — e Anthropic ha dichiarato che la navigazione ampia e autonoma comporta ancora un rischio residuo.

Non è solo un problema di Anthropic

La tempistica colloca Claude accanto a un campo affollato di browser agentici — Atlas di OpenAI con Agent Mode, Comet di Perplexity, la Copilot Mode di Microsoft in Edge e un agente Gemini sperimentale in Chrome. Ognuno di essi affronta lo stesso problema strutturale. OpenAI ha dichiarato apertamente che è "improbabile che la prompt injection venga mai completamente 'risolta'", e ha rilasciato un modello addestrato in modo avversariale per Atlas in risposta a nuovi attacchi individuati nei test interni.

La conclusione pratica per chiunque attivi un browser agent questa settimana: trattalo come un assistente potente ma ingenuo. Tienilo su siti di cui ti fidi, approva tu stesso i clic dalle conseguenze rilevanti e non lasciarlo mai autenticato sulla tua banca o sulla tua console di produzione mentre naviga sul web aperto. La comodità è reale; così come lo è il raggio d'azione dei danni quando una pagina lo inganna.