北京时间 10 月 16 日凌晨 4 点 02 分，ChatGPT 的官方账号连发三条，宣布 Chrome 扩展的一次升级。1 两个多小时后（北京时间 6 点 43 分），The Verge 的稿子上线，标题直译过来是「ChatGPT 现在能偷看你的 Chrome 标签页了」。2
官方帖的原话是：在 Chat 里，「它可以看到你打开的标签页并收集信息」；在 Work 里，「ChatGPT 可以控制你的 Chrome 标签页」，去发消息、填表单、下载文件，还能帮你把一堆标签页分组。同一串帖子里的第三条说，扩展「适用于所有 ChatGPT 档位」。1
这条消息最容易被一句话带过去的地方，是它没有留下什么。同一天的官方发布说明里有三条：语音模型更新、一个面向大学实验室的学术计划、以及 Sites 的数量上限——都与这次升级无关。3
而真正值得读的，是同一份官方文档里，四样东西被三种不同的方式管着。被要求每次都问的只有一样：你翻过的浏览历史。你正开着的那一屏，文档里没有为它写确认步骤。
先说清楚：这一天新增的不是能力
官方帖下面最集中的一类回复，是同一个问题。
- @karmay007：「I'm sorry.. how is this a "new" feature ??」（115 赞）
- @kevinace：「Didn't it already do this? Am I in a dream? It definitely already does this. I've done this.」
- @aryannaio：「I've been using this for like a month. This isn't new ://」1
这些回复不是无理取闹。扩展在浏览器里跨标签页干活，官方写在 5 月 7 日的变更日志里：「With the new extension for Chrome, Codex is even better at working with apps and websites in your browser. It works in parallel across tabs in the background without taking over your browser, and you stay in control of which websites Codex can use.」4 同期 Engadget 的报道也写着，这个插件的能力包括「collecting context from across open tabs」。5
「提及已打开的标签页」写在 7 月 30 日，官方帖的原文是「In Side Chat, ask about a YouTube video, reference your open tabs, or highlight text on a page and ask away」。6 「五个浏览器都支持提及标签页与浏览器控制」写在 8 月 31 日的发布说明里，连同 Opera 支持控制但不支持侧栏这一句。3
那 10 月 15 日到底新增了什么？官方自己给了两个限定。
OpenAI 的一位浏览器方向产品经理在当天晚些时候的一条帖子里写得更具体：「This means that free Chat users can now bring the context of their tabs into ChatGPT without having to go into Work mode or installing Codex!」7 另一个账号把这次升级概括成：「What's new today is a more seamless way to bring multiple open tabs into the context of a regular ChatGPT conversation.」8
也就是说，能力本身不新，新的是多少人能碰到它：免费档的用户，从这一天起也能把标签页带进普通对话。至于 Work 里那几个动作——发消息、填表、下载——仍然归 Work 的访问权管。官方文档另有一句提醒：可用性取决于分批发布和你所在工作区的设置。9
官方举的例子，都是工作
官方帖的第三条列出一批样例查询，读一遍就能知道它想被用在什么地方1：
Compare these pricing pages against our requirements. Which plan includes everything we need? Put the vendors in these tabs into my comparison sheet, with pricing, key features, and source links. Look at all the tabs I have open and compare the contractor services. Then draft an email to the one that fits my home renovation. Use the details in this event brief to fill out the registration form, and stop before submitting.
前三条是研究和比对，第四条是填表。值得注意的是第四条自带一个刹车：「and stop before submitting」——填完先停下，别提交。这句话是写提示词的人自己加的，不是产品给的。
商店页的自述把同一个方向列得更直白，它写这个扩展可以「Research across live and authenticated websites」（在需要登录的网站上做研究）、「Data entry into any record system (e.g., timesheets, inventory, CMS)」（往任何记录系统里录数据，比如工时表、库存、内容管理系统）、「File expenses and download files/images in bulk」（批量报销与下载文件），以及「Test and validate websites」（测试与验证网站）。10
这批例子里，被反复提到的是「多个标签页」和「需要登录的地方」。这才是这次升级真正在推的东西。
官方没有给它一条发布说明
把官方自己写下过的日期排一遍，这条线比 10 月 15 日长得多。
- 5 月 7 日：扩展以「Codex for Chrome」上线，变更日志写下它可以跨标签页在后台工作。4
- 7 月 9 日：发布说明宣布退场 Atlas，理由是把浏览器里的 agent 能力搬进 ChatGPT 与 Codex。3
- 7 月 30 日：更新页与官方帖写下侧栏可以引用你打开的标签页。6
- 8 月 31 日：发布说明把扩展扩到 Edge、Brave、Opera、Vivaldi，并写明「提及已打开的标签页，或让 ChatGPT 从桌面应用完成一个浏览器任务」。3
- 10 月 15 日：官方账号发出四连推；同一天，发布说明、更新页、变更日志三处都没有这条。146
能确证的绝对时刻只有三个：官方帖在 20:02:51Z 与 20:09:10Z 发出（北京时间次日的 4:02 与 4:09）、商店页的「Updated: October 15, 2026」、以及 The Verge 稿子的 22:43Z（北京时间 6:43）。1210
同一个商店页还给出了一条没人转述的曲线。从存档快照里可以读出装机量的变化：7 月 10 日的快照写着 2,000,000 用户，8 月 18 日 3,000,000，9 月 8 日 4,000,000，10 月 11 日 6,000,000，今天是 7,000,000。11121314 三个多月里，从两百万到七百万。
7,000,000 是商店页的自述，没有第二个来源。
为什么是扩展，而不是自己的浏览器
7 月 9 日那条发布说明，把这次升级的来处写得很清楚：「We're deprecating Atlas as we bring browser-based agentic capabilities into ChatGPT and Codex.」Atlas 定在 8 月 9 日停止工作。同一段里还有一句承诺：「We're building on what we learned from Atlas to bring a more capable browser experience to ChatGPT, including multiple tabs, downloads, improved navigation, and account login support where available.」3
Atlas 是 2025 年 10 月 21 日上线的，官方的说法是「a new web browser built with ChatGPT at its core」。15 不到九个月后它开始退场，帮助中心留下一句冷冰冰的说明：「ChatGPT Atlas has been retired and no longer receives updates.」16
所以这条线的形状是：OpenAI 关掉了自己那扇门，把人请到别人已经装好的那扇门里——而且用的是对方已经登录的身份。
底层机制：三道闸门，三种时态
这是全篇最该慢慢读的一段。
第一道，在装的时候。 Chrome 弹出权限提示，一次列完八项。官方文档把它们逐字列了出来。9 其中两项决定了这套东西的能力边界：
Read and change all your data on all websites Read and change your browsing history on all your signed-in devices
这一道只有一个时态：一直有效，直到卸载。文档自己给的解释是，「These extension permissions make it capable of operating browser workflows」——这些权限让扩展有能力执行浏览器工作流。紧接着的一句是它的用法：「ChatGPT still uses its own confirmations, settings, allowlists, and blocklists before using websites or browser history during a task.」产品自己的确认、设置、允许清单与阻止清单，是叠在这一层之上的。9
第二道，在动手之前。 默认每个新的网站问一次，判断的依据是网站域名。四个选项是：允许一次、允许这一处、允许所有地方、拒绝。选后两个，这个域名就会写进允许清单；清单与阻止清单在设置里的 Computer Use 一节，几个浏览器共用。9
第三道，也是唯一没有「永久允许」这一档的：浏览历史。 官方原文：「ChatGPT asks when it wants to use browser history. ChatGPT scopes history access to the request, and history doesn't have an always-allow option.」9
然后是第四样东西，它没有对应的那一格。 关于已打开的标签页，文档只写了一句话：
ChatGPT can use context from your open tabs when a task needs it.
这一节里没有确认步骤，文档里别的地方也没有补上。9
把四行并排放：
| 对象 | 谁被问、问几次 | 能管多久 |
|---|---|---|
| 装扩展 | 你自己，一次 | 一直，直到卸载 |
| 网站上的动作 | 你自己，每个新域名一次 | 可升成「所有地方一直」 |
| 读浏览历史 | 你自己，每一次 | 只这一次，没有永久档 |
| 读已打开的标签页 | 文档没有写 | 没有这一格 |
要补一句公平的话：这套差别不是这次升级才有的。能查到的最早一份文档存档是 7 月 9 日，那一天「浏览历史要问、且没有永久允许」这一段就在，措辞与今天几乎一致。17 四个选项的措辞是 7 月 14 日到 23 日之间换上的——之前写的是「Allow the website for the current task. Always allow…」。18 「提及标签页」「浏览器控制」「扩展权限清单」这三段，是 8 月 24 日到 27 日之间出现的。1920
换句话说：闸门的位置早就定好了。10 月 15 日改变的是有多少人走到它面前。
两处官方自己标了风险的
第一处是那个「允许所有地方」。文档在它的小标题后面挂了一个 Elevated risk 标记，正文写着：「If you select Allow for all sites, ChatGPT no longer asks for confirmation before using websites.」选了它，以后不再问。9
第二处是浏览历史，也挂着同样的标记。文档的解释是，历史里可能有敏感遥测、内部 URL、搜索词，以及你已登录设备上的活动；然后是一句值得单独读的话：
Malicious or misleading page content can increase the risk that ChatGPT copies this data somewhere unintended.
恶意的或误导性的页面内容，会提高 ChatGPT 把这些数据拷到某个不该去的地方的风险。9
这句话是官方自己写的，不是外部研究者的判断。它承认的是：页面上看到的东西，会被当成可执行的上下文。
动作落在谁的账上
计算机操作那一页文档，把这件事说得更直接。如果 ChatGPT 用你的浏览器，它「can interact with pages where you're already signed in」，而且：
sites may treat approved clicks, form submissions, and signed-in actions as coming from your account.
网站会把被批准的点击、提交的表单、以及在登录状态下做出的动作，当成来自你的账号。21
也就是说：对面那个网站看到的，是你。这不是新增的风险，但这次升级把它推到了免费档、推到了普通对话里。
装上那一刻拿到什么
商店页自己披露，这个扩展处理九类数据：个人身份信息、健康信息、财务与支付信息、身份验证信息、个人通信、位置、网页历史、用户活动、网站内容。10
同一页的自述里还有一句，用词很讲究：「ChatGPT will always ask for your permission when referencing your browser history and downloading/uploading files so you stay in control.」被保护的是浏览历史和文件。标签页不在这一句里。10
企业侧能收回什么，默认又是什么
9 月 3 日，Enterprise 版发布说明里出现过一条，标题是
More control over browser and computer use：「管理员可以为网站设置默认值与例外，限制上传、下载、浏览历史与开发者访问。」22今天落在配置文件里的键，主要这三组：23
[browser_use] allow_history_access与allow_global_persistent_approval- 每个来源一条：
access、uploads、downloads、full_cdp_access、persistent_approval、access_approval_lifetime [features]下的整块开关：browser_use、browser_use_external、in_app_browser、computer_use、browser_use_full_cdp_access
关键是默认值。官方原文：
If you omit these keys, policy allows the features.
不写，就是允许。所以「允许所有地方」这一档会不会出现在员工手上，取决于管理员有没有写下
allow_global_persistent_approval = false；读不读浏览历史，取决于 allow_history_access。这不是产品的默认值在管，是有人写没写那一行在管。出了事，你手上有什么
官方文档有一句很短的说明：「OpenAI doesn't store a separate complete record of your browser actions from the extension.」它只在内容进入对话上下文时保存——页面文字、截图、工具调用、摘要、消息。9
所以「它昨晚在我后台做了什么」这个问题，扩展这一侧没有一份独立完整的账。能留证据的，是浏览器那一侧。
文档给的另一条路，是另一扇门。用
@Browser 调起内置浏览器，官方写明它是「a browser profile that is separate from your regular browser. It doesn't automatically share your existing tabs or browser session」——不共享你现有的标签页与浏览会话。24两扇门的能力不一样：一扇用你登录的身份，一扇要你重新登录，但只带它自己那一个配置。
这件事谁先做
三家都比它早，而且都能查到官方原文。
Anthropic 是三者里最早的。2025 年 8 月 25 日的 Claude in Chrome 研究预览页上，现在还留着一组自测数字：「Browser use without our safety mitigations showed a 23.6% attack success rate when deliberately targeted by malicious actors」；加上缓解之后，这一比例降到 11.2%。同一页还写着使用建议：从可信站点开始，避免让它在涉及财务、法律、医疗等敏感信息的站点上工作。25
Google 在 2026 年 1 月 28 日推出 Chrome 的 auto browse，官方原话包括「And if you give auto browse permission, it can use Google Password Manager to handle tasks even if a sign-in is required」——在需要登录的任务上，它可以直接用密码管理器。26
微软 在 2026 年 5 月 13 日的 Edge 更新里写：「With your permission, Copilot in Edge can reason across your open tabs.」用词比 OpenAI 这次保守——它说的是推理，不是控制。27
把 agent 放进用户已登录的浏览器这件事，Anthropic 和 Google 都更早。OpenAI 这次做的是把 5 月到 8 月已有的两件事合并升级，并推向所有档位。
这一次没有的东西
没有独立实测。 到本篇核对时（10 月 16 日上午）为止，没有找到任何第三方公开的跨多标签页实测：没有逐步日志，没有误触或意外动作的第一手记录。手上只有官方那段演示视频。1
没有可署名的安全研究者表态。 Hacker News 的评论检索 0 命中；几个主流 AI 版块在快照时刻没有讨论帖；没有任何公开署名的研究者就这次升级讲权限面或注入面。
社区的第一反应不是安全。 是「这算什么新功能」，以及一条更实际的工作流问题。官方帖的回复线程里，有一位用户写：「Reading my tabs is the easy part. Sending messages and filling forms from tabs where I'm logged in is the real jump. Does Work show me the exact text before it hits send, or do I find out after?」1
Hacker News 只有一条提交，3 分、一条评论。那条评论是：「Claude has been controlling my chrome for a few months now lol.」28
作为对照，上半年竞品的同一类功能是有实测的。WIRED 在 2026 年 1 月 30 日让 Gemini 的 auto browse 跑了票务和露营两个任务，记录下的结论是「handled multistep tasks noticeably better than similar agent tools the writer tested last year, but it lacks the accuracy needed for daily reliance」——票务任务选错了座位，露营任务跑了近十五分钟只核实了一个营地。29
这一次的第三方实测，到今天还没有出现。
这对谁意味着什么
对个人用户。 三件事可以今天做。第一，把「允许所有地方」留给确实需要的站点，其余用「允许一次」；后者是可用的，当天就有人这样提醒。30 第二，知道标签页那一格没有确认步骤——敏感会话不要和它长期同屏。第三，要让它跑长任务时，用
@Browser 那扇门；它不带你的标签页。24对企业的 IT 与安全。 当天已经有人从这个角度读它。一位自称做 Microsoft 365 的账号写：「That's an agent inside every SaaS session your users are signed into. If you manage Chrome, review this extension against your allowlist before users decide for you.」——用户替你做决定之前，先按你们的允许清单审一遍。31 能写死的只有一层，而那一层的默认是「不写就允许」23。所以第一件事不是评估功能，是决定配置文件里那几个键写什么——尤其是
allow_global_persistent_approval 和 allow_history_access。第二个要决定的是：这套动作在网站的日志里记成员工本人，而你们手上不会有一份来自扩展侧的独立记录9。如果这不合内部审计的口径，可选的两条路是浏览器侧自行留证，或者直接关掉。对做产品的人。 这里有一个值得照抄的设计：把「允许」做成三个时态——一次、这一处、所有地方——比一个「开/关」更贴合真实使用，也让用户在第一次被问时就想清楚范围。同时，这套设计里最该被质疑的一处也在这里：读取范围最广的那一格（当前屏幕上开着的所有页面）没有对应的确认，而读取范围最窄的那一格（历史）反而要每次问。
还不能确定的
四个选项与权限清单的精确出现日查不到。 存档快照只能夹逼到 7 月 14 日–23 日、8 月 24 日–27 日两个区间。
官方为什么选在这天，没有公开说明。 这次升级没有发布说明、没有博客、没有系统卡；官方公告只有社交账号与商店版本号两个渠道。
商店页自己的两个数字对不上。 页面顶部写 915 条评分，正文写 5915 条，同一时刻同一页。10
7,000,000 装机量只有一个来源。 商店页自述，没有第二个可核的地方。10
Anthropic 那边有一处口径差没有裁定。 官方发布说明里，Claude in Chrome 的最新条目停在 2025 年 12 月 18 日；第三方报道说 2026 年 8 月 13 日还有一次改动（把 Cowork 放进扩展侧栏）。两说并存，本篇不做取舍。32
一句话
这一次动的不是「能不能」，而是「多少人能」：七百万装机量，所有档位，包括免费。而文档留给读者的那三个时态，没有一格管着正开在你屏幕上的那一屏。
References
- 1@ChatGPT · X
x.com
- 2
- 3ChatGPT release notes · OpenAI Help Center
help.openai.com
- 4ChatGPT & Codex changelog · ChatGPT Learn
learn.chatgpt.com
- 5
- 6What's new · ChatGPT Learn
learn.chatgpt.com
- 7@JamesZmSun · X
x.com
- 8@TokenGremlin · X
x.com
- 9Browser extension · ChatGPT Learn
learn.chatgpt.com
- 10ChatGPT · Chrome Web Store
chromewebstore.google.com
- 11Chrome Web Store snapshot 2026-07-10 · Internet Archive
web.archive.org
- 12Chrome Web Store snapshot 2026-08-18 · Internet Archive
web.archive.org
- 13Chrome Web Store snapshot 2026-09-08 · Internet Archive
web.archive.org
- 14Chrome Web Store snapshot 2026-10-11 · Internet Archive
web.archive.org
- 15Introducing ChatGPT Atlas · OpenAI
openai.com
- 16ChatGPT Atlas retirement · OpenAI Help Center
help.openai.com
- 17Chrome extension docs snapshot 2026-07-09 · Internet Archive
web.archive.org
- 18Chrome extension docs snapshot 2026-07-23 · Internet Archive
web.archive.org
- 19Chrome extension docs snapshot 2026-08-24 · Internet Archive
web.archive.org
- 20Chrome extension docs snapshot 2026-08-27 · Internet Archive
web.archive.org
- 21Computer Use · ChatGPT Learn
learn.chatgpt.com
- 22
- 23Managed configuration · ChatGPT Learn
learn.chatgpt.com
- 24Browser · ChatGPT Learn
learn.chatgpt.com
- 25Piloting Claude in Chrome · Anthropic
anthropic.com
- 26
- 27New updates to Edge across desktop and mobile · Microsoft Edge Blog
blogs.windows.com
- 28HN item 50111454 · Hacker News
news.ycombinator.com
- 29
- 30@jayzhoupro · X
x.com
- 31@XavierRiveraX · X
x.com
- 32
Comments