OpenAI porta Codex nel browser: estensione Chrome e infrastruttura di sicurezza per l’enterprise

OpenAI ha ampliato le capacità del proprio agente di coding Codex con due annunci complementari: un'estensione per Chrome che permette all'agente di operare su siti web autenticati, e un documento tecnico dettagliato su come l'azienda gestisce internamente il deployment sicuro dello stesso strumento. I due rilasci, avvenuti l'8 maggio 2026, disegnano una strategia precisa per portare gli agenti AI nei flussi di lavoro enterprise.

L'estensione Chrome: accesso ai siti con sessione attiva

Fino ad oggi, Codex disponeva di un browser integrato nella propria app desktop — un ambiente sandboxato per preview e sviluppo locale — e di una libreria di plugin dedicati per servizi come GitHub, Slack, Figma e Notion. Questi due approcci avevano però un limite evidente: non potevano accedere a siti che richiedono autenticazione con le credenziali reali dell'utente.

La nuova estensione Chrome colma esattamente questo gap. Una volta installata e collegata all'app desktop di Codex, consente all'agente di operare direttamente nel browser dell'utente, sfruttando le sessioni già attive su piattaforme come LinkedIn, Salesforce, Gmail o strumenti interni aziendali. In pratica, Codex può leggere notifiche, aggiornare record CRM, gestire email e raccogliere contesto da tab aperte, tutto senza richiedere nuovi login o integrazioni API ad hoc.

Il sistema introduce una gerarchia di tre livelli: plugin dedicati quando disponibili, estensione Chrome per i siti con sessione autenticata, browser interno per localhost e pagine pubbliche. L'agente sceglie automaticamente il livello appropriato in base al task, ma l'utente può forzare l'uso di Chrome con la sintassi @Chrome — ad esempio: @Chrome apri Salesforce e aggiorna l'account con queste note di chiamata.

Un dettaglio operativo rilevante riguarda i tab group: Codex lavora in gruppi di schede dedicati, separati dalla navigazione attiva dell'utente, evitando di interferire con la sessione di lavoro corrente.

Le permissioni richieste e i rischi da tenere a mente

L'estensione richiede permissioni piuttosto ampie: accesso a cronologia, segnalibri, dati delle pagine, gestione dei download e dei tab group su tutti i dispositivi con account collegato. Per mitigare i rischi, OpenAI ha implementato un sistema di conferma per sito: prima di interagire con un nuovo dominio, Codex chiede esplicita autorizzazione all'utente, che può concederla per la sola sessione corrente, aggiungerla a una allowlist permanente, oppure rifiutarla.

C'è però un rischio che merita attenzione: il prompt injection. Pagine web malevole possono incorporare istruzioni nascoste progettate per dirottare il comportamento dell'agente. OpenAI raccomanda di approvare l'accesso solo a siti di cui ci si fida. Un altro elemento da considerare è la funzione Memories: se attiva, Codex può attingere a contesti precedentemente memorizzati anche durante i task nel browser; disattivarla garantisce sessioni completamente isolate.

L'estensione è disponibile su macOS e Windows, ma non ancora nei mercati EU e UK al momento del lancio.

Come OpenAI gestisce Codex internamente: sandbox, policy e telemetria

In parallelo all'estensione, OpenAI ha pubblicato un documento tecnico che descrive come l'azienda stessa usa Codex in produzione, con l'obiettivo di offrire un modello di riferimento per i team enterprise.

Il principio guida è semplice: le azioni a basso rischio devono essere frictionless, quelle ad alto rischio devono fermarsi per revisione umana. A realizzare questo equilibrio concorrono quattro elementi principali.

Il primo è il sandboxing: ogni istanza di Codex opera in un ambiente di esecuzione con confini tecnici precisi — dove può scrivere, a quale rete può accedere, quali path restano protetti. Il secondo è il sistema di approvazioni, che può essere automatizzato tramite la modalità Auto-review: un sottoagente valuta le azioni pianificate e approva automaticamente quelle a basso rischio, riducendo le interruzioni per lo sviluppatore senza rinunciare al controllo.

Il terzo elemento riguarda le policy di rete: OpenAI non concede a Codex accesso outbound illimitato. Le destinazioni note e approvate sono nella allowlist, quelle indesiderate sono bloccate, le nuove richiedono approvazione esplicita. Infine, le regole per i comandi shell distinguono tra operazioni ordinarie dello sviluppatore — consentite senza approvazione — e comandi potenzialmente pericolosi, che vengono bloccati o messi in coda per revisione.

Visibilità e audit: telemetria pensata per gli agenti

La parte forse più innovativa del documento tecnico riguarda la telemetria agent-native. I log di sicurezza tradizionali registrano cosa è successo — un processo avviato, un file modificato, una connessione di rete — ma non spiegano perché. Codex supporta l'esportazione di log in formato OpenTelemetry, che includono i prompt dell'utente, le decisioni di approvazione degli strumenti, i risultati delle esecuzioni, l'uso dei server MCP e gli eventi del proxy di rete.

Questi log vengono usati da OpenAI insieme a un agente di triage della sicurezza basato su AI: quando un alert di endpoint segnala un comportamento anomalo di Codex, i log dell'agente forniscono il contesto necessario — la richiesta originale, le decisioni prese, le azioni eseguite — per distinguere tra comportamento atteso, errori innocui e veri incidenti da escalare. I log possono essere integrati nei sistemi SIEM e nelle piattaforme di compliance enterprise.

La direzione strategica

I due annunci non sono separati: si completano. L'estensione Chrome spinge Codex verso ambienti produttivi reali — CRM, email, strumenti aziendali — mentre il framework di sicurezza fornisce ai team IT le leve per governare quel deployment. È una mossa che risponde a una domanda precisa del mercato enterprise: come adottare agenti AI capaci senza perdere visibilità e controllo su ciò che fanno.