O alerta de oito anos do Microsoft Edge para agentes de navegador

Em agosto de 2026, a The Verge informou que a Microsoft havia começado a retirar o Manifest V2 do Edge, enquanto o suporte empresarial segue até o início de 2027. A disputa pública sobre o design do Manifest V3 do Google começou em 2019, levando o percurso entre a controvérsia e o prazo empresarial do Edge a cerca de oito anos. O software em questão vinha em pacotes identificáveis, com permissões declaradas; a Microsoft agora também desenvolve agentes capazes de escolher e executar ações no navegador.

A ferramenta de uso de computador do Copilot Studio pode usar automaticamente sites e aplicativos de desktop. O registro citado não estabelece que ela opere dentro de sessões autenticadas. Nenhuma fonte citada mede a implementação de agentes de navegador, a provável demora para governá-los ou uma falha documentada de controle empresarial. A comparação de oito anos é, portanto, um alerta sobre o atrito da migração, não uma previsão de que os controles de agentes levarão tanto tempo.

Os desenvolvedores escolhem ações no navegador pela mesma razão prática: a web já contém as interfaces e os fluxos de trabalho de que os agentes precisam. Essa convergência pressiona modelos de segurança concebidos para software cujas permissões podem ser revisadas antes da instalação.

Um manifesto pode identificar código, não intenção

Uma extensão convencional de navegador dá ao navegador um objeto estável para governar. Um desenvolvedor empacota código, declara capacidades e pede permissão a um usuário ou administrador para instalá-lo. O navegador pode inspecionar o pacote, restringir suas APIs e revogá-lo depois. A aprovação pode ser ampla, mas o que foi aprovado continua identificável.

A cada ciclo, um agente com estado altera o que o navegador precisa revisar. Ele observa uma página, retém contexto, seleciona uma ferramenta, executa uma ação, lê o estado resultante e repete o processo. O navegador pode identificar o executável que iniciou o ciclo, mas isso não explica por que o agente escolheu um link, se uma página alterou seu objetivo ou se a pessoa pretendia a transação final.

Os desenvolvedores chegaram a essa arquitetura antes da política dos navegadores. A Browser Use converteu elementos de sites em uma representação semelhante a texto para agentes e levantou uma rodada seed de US$ 17 milhões em torno da ferramenta open source. O protótipo Project Mariner do Google controlava o Chrome, movia o cursor, clicava em botões e preenchia formulários. A Microsoft adicionou uso de computador ao Copilot Studio, incluindo a detecção dinâmica de mudanças na interface. A Amazon lançou o Nova Act e um SDK para agentes que poderiam concluir de forma independente ações simples no navegador.

O Google classificou o Mariner como um protótipo de pesquisa, e a Amazon limitou as ações independentes do Nova Act a tarefas simples. A automação de navegador não precisa alcançar autonomia confiável para criar um problema de autorização; basta que um agente pouco confiável envie um formulário consequente.

Quando agentes leem e escrevem, eles usam tipos distintos de autoridade. Um agente que resume uma aba pode errar sem mudar o mundo. Um agente que envia uma mensagem, confirma uma compra, altera uma configuração de conta ou carrega um arquivo pode criar uma obrigação que sobrevive à sessão. Um administrador pode aprovar o pacote, mas não pode codificar quais finalidade, destino e consequência justificam cada ação posterior.

Dependências empresariais alongaram uma mudança de política de pacotes

Fornecedores de navegadores passaram anos migrando extensões convencionais do Manifest V2 para o Manifest V3. A Mozilla afirmou em 2019 que o Firefox não seguiria a implementação do Google onde ela prejudicasse bloqueadores de anúncios. A Microsoft deu às organizações gerenciadas até o início de 2027 para preservar fluxos de trabalho aprovados. A Mozilla protegeu o comportamento esperado do navegador, enquanto a Microsoft acomodou empresas já dependentes de software instalado.

Fornecedores de navegadores acrescentaram limites de origem, restrições de navegação, controles de esquemas e regras de conteúdo em resposta a falhas anteriores. Um agente de navegador pode cruzar os mesmos limites por meio de controles comuns voltados ao usuário: clicar no link, abrir a página, preencher o campo, pressionar enviar. O navegador vê uma navegação permitida, enquanto o empregador pode ver um agente excedendo a autoridade delegada.

Antes de habilitar agentes em perfis gerenciados, as equipes de segurança devem testar os controles de política em tempo de execução e de auditoria nos fluxos de trabalho que os funcionários já usam. Quando esses fluxos passam a depender de um agente, mudar o modelo de controle se torna um projeto de migração.

A Microsoft ocupa os dois lados da fissura de confiança

A Microsoft está aposentando o modelo antigo de extensões do navegador enquanto ajuda a construir o sistema de distribuição de capacidades de agentes. O padrão Agent Plugins da OpenAI empacota habilidades e servidores MCP, e a Microsoft integra seu comitê diretor ao lado de Amazon, Cursor e Vercel. O padrão dá aos desenvolvedores uma forma portátil de agrupar capacidades que os agentes podem invocar sem redescobrir cada fluxo de trabalho por uma tela.

No Edge, o Copilot Mode experimentou antecipar links nos quais um usuário talvez quisesse clicar. Mais tarde, o Edge permitiu que o Copilot reunisse informações de abas abertas e usasse o histórico de navegação para produzir respostas mais relevantes. O Copilot Studio acrescenta execução de ações, enquanto o Agent Plugins acrescenta distribuição de capacidades. A Microsoft agora abrange coleta de contexto, execução e distribuição, embora o registro citado sobre o Copilot Studio não estabeleça uso em sessões autenticadas.

Clientes empresariais pedem à Microsoft compatibilidade, administração centralizada e migrações graduais. Os produtos de agentes da Microsoft se tornam mais úteis à medida que recebem mais contexto e executam mais ações. O Edge precisa preservar fluxos de trabalho existentes enquanto a empresa amplia as decisões que seu software pode tomar em torno deles.

O plano de controle precisa vincular ações a principais

Administradores precisam vincular uma identidade de agente a um principal humano ou organizacional, especificar as sessões e ferramentas que ele pode usar e retirar essa delegação sem desabilitar todo o perfil de navegador do funcionário.

Cloudflare, Google, Microsoft e Mozilla trabalham no PACT, um protocolo para distinguir tráfego humano ou de bots legítimo de requisições indesejadas. O PACT trata de quem ou do que gerou tráfego na fronteira da rede. Ele não decide se um agente legítimo foi autorizado a aprovar uma despesa, divulgar um documento ou continuar depois que uma página introduziu novas instruções.

Empresas de navegadores corporativos, incluindo Island e Here, levaram outra parte do problema para o navegador ao criar controles de segurança e integrações com aplicativos de trabalho. O Google descreveu um User Alignment Critic que avalia cada ação de um agente no Chrome. Esses sistemas colocam a política mais perto do ciclo de ação, onde o navegador pode avaliar conjuntamente identidade, contexto e consequência.

Uma equipe de segurança que implementa um agente de navegador herda o problema mais amplo de governança da execução de agentes dentro de uma sessão autenticada. Ela precisa de responsabilização pela implementação em quatro pontos:

Uma equipe de compras pode transformar esses controles em testes de aceitação. Em um fluxo de despesas, por exemplo, um agente poderia ler abas aprovadas de faturas, chamar uma ferramenta de consulta de fornecedores e preparar um pagamento. Um funcionário nomeado deveria ver o beneficiário, o valor e o destino antes do envio, enquanto o navegador retém o comprovante de aprovação. Um fornecedor que não consegue delimitar, pausar, registrar e revogar essa sequência não está pronto para esse fluxo de trabalho.

Uma página não confiável pode entrar no fluxo de controle

Os navegadores separam sites, frames, esquemas e recursos privilegiados. Um agente pode preservar esses limites técnicos e ainda criar uma nova via de segurança ao alimentar o conteúdo renderizado da página em sua próxima decisão.

A injeção indireta de prompt explora essa via. Um site, mensagem ou documento pode conter instruções que o agente interpreta junto com o objetivo do usuário. Pesquisadores da Brave relataram fragilidades sistêmicas de injeção indireta de prompt em navegadores agênticos, incluindo Perplexity Comet e Fellou. A capacidade do agente de ler a web se torna um canal pelo qual a web pode influenciá-lo.

O ecossistema mais antigo de extensões oferece um segundo alerta. Um pesquisador rastreou um serviço pago de scraping até extensões que contornavam proteções do navegador.

O caso das 245 extensões mostra que fornecedores de navegadores podem não detectar usos indevidos mesmo quando o código chega como um pacote estável. Agentes com estado acrescentam objetivos mutáveis e instruções não confiáveis a esse problema de fiscalização.

Nenhum dos registros estabelece uma taxa de falha para agentes de navegador, e nenhum implica produtos da Microsoft. Os casos, em vez disso, definem duas vias que os testes empresariais precisam cobrir: software aprovado pode usar indevidamente sua autoridade, e conteúdo hostil pode redirecionar software aprovado.

Interfaces explícitas restringem a autoridade de agentes de navegador

Fornecedores de software podem expor ações restritas por API em vez de pedir a um agente que infira significado de pixels, texto e layout.

Desenvolvedores de agentes usam automação no nível da tela porque qualquer site construído para pessoas está imediatamente disponível. Representações textuais, detecção de mudanças na interface e controle baseado em capturas de tela transformam a interface existente em um adaptador geral.

Um agente que navega por telas pode falhar quando um botão muda de lugar, interpretar instruções como dados ou receber de uma sessão autenticada mais autoridade do que a tarefa exige. Ele precisa inferir o pedido restrito do usuário a partir de um contexto amplo de credenciais.

Fornecedores podem direcionar fluxos de trabalho repetíveis por interfaces com ações inspecionáveis, credenciais restritas e resultados estruturados. O controle do navegador pode cobrir sites e tarefas sem essas interfaces. Plugins e APIs tratam capacidades conhecidas, enquanto a operação no navegador preserva a compatibilidade com trabalho que ainda não foi empacotado como ferramenta.

A portabilidade determina quem detém o interruptor de desligamento

Google e Microsoft combinam distribuição de navegadores com pesquisa sobre agentes e controles administrativos. A Browser Use e outros fornecedores de ferramentas podem ficar acima de vários navegadores, enquanto os fornecedores de navegadores governam a sessão autenticada abaixo deles.

Uma equipe de segurança que compara sistemas de agentes de navegador deve perguntar se consegue exportar identidades de agentes, listas de permissão de domínios, logs de ações e comprovantes de aprovação. Ela também deve testar se consegue revogar um agente sem desabilitar o perfil do funcionário e se a política do navegador se aplica a habilidades de terceiros.

O fornecedor do navegador que controla a sessão pode decidir qual contexto um agente vê, quais ferramentas ele pode chamar, qual identidade apresenta e onde uma ação é interrompida. Se políticas e registros de delegação não puderem acompanhar o cliente, o fornecedor também controla o custo de saída.

Até o início de 2027, a exceção empresarial da Microsoft encerrará uma disputa sobre o Manifest V2 que começou em 2019. Esse intervalo de oito anos não prevê uma demora de oito anos nas políticas para agentes; ele identifica o custo de esperar até que os fluxos de trabalho dependam de um modelo de controle. Uma empresa que concede acesso autenticado ao navegador antes de conseguir exportar políticas, identidades delegadas e registros de aprovação pode descobrir que trocar de fornecedor exige reconstruir a cadeia de autoridade em torno de cada fluxo de trabalho automatizado.