A partir del 25 de agosto, el navegador en la nube de ChatGPT puede iniciar sesión en sitios protegidos con contraseña. Las credenciales pasan por un formulario seguro directamente al navegador remoto; el modelo nunca las ve, no se almacenan, no se usan para entrenamiento y un modelo de revisión independiente comprueba si hay phishing antes de que aparezca el formulario. Todo eso es real y está bien diseñado.
La contraseña nunca fue el activo
Una vez introducidas las credenciales, una sesión autenticada en vivo se aloja en los servidores de OpenAI y —en palabras de la propia OpenAI— "la autenticación persistirá para tareas futuras hasta que caduque." Una cookie de sesión persistente da acceso a la cuenta sin la contraseña y sin el segundo factor. El perímetro de seguridad ha pasado de "OpenAI no guarda credenciales" a "OpenAI guarda un token de portador para tu cuenta". Es una afirmación más débil vestida con ropas de una más fuerte. Las sesiones pueden borrarse por sitio o de forma global desde Ajustes.
En qué se equivoca el encuadre habitual
La segunda tranquilidad es que el agente pide permiso antes de acciones relevantes. Lo hace —en la vía interactiva. Pero la documentación de automatizaciones de OpenAI, publicada abiertamente, establece que "scheduled tasks use approval_policy = "never" when your organization policy allows it" y que "scheduled tasks run unattended and use your default sandbox settings." Si un administrador lo prohíbe, las tareas vuelven al modo de permisos seleccionado. De lo contrario, el aviso de confirmación protege la ruta con un humano observando, mientras la ruta impulsada por eventos —la que no tiene a nadie mirando— se ejecuta con las aprobaciones desactivadas.
Para ser precisos sobre lo que OpenAI dice y no dice
OpenAI no afirma en ningún lugar, en una sola frase, que una sesión persistente del navegador se combine con una tarea programada sin supervisión. Esa combinación es nuestra interpretación de dos de sus páginas de documentación, y así debe leerse, no como un comportamiento revelado. Ambas partes se citan arriba a partir del propio material de OpenAI; lo que no ha ocurrido es que nadie las haya leído en relación entre sí.
Por qué importan los disparadores
Las automatizaciones se activan mediante webhooks: nuevos mensajes de Gmail filtrados por remitente o asunto, nuevos mensajes de Slack en canales seleccionados, actividad de pull request en GitHub. Todos ellos son superficies en las que un tercero puede escribir. Una inyección de prompt colocada en un correo entrante o en el título de un pull request llega ahora a una tarea que se ejecuta según un horario, dentro de una sesión de navegador iniciada, con las aprobaciones desactivadas por defecto.