Passa al contenuto principale

Browser a login condiviso per agenti AI: il pattern ego lite

Intermedio

Per la maggior parte del 2025 la risposta pratica a "come fa il mio coding agent a guidare il web?" era Playwright o Puppeteer avvolti in un tool. Funziona per flussi scriptati ma si rompe sui casi interessanti — tutto quello che sta dietro un login, tutto quello che ha bisogno di un vero profilo Chrome, tutto quello che preferiresti non ri-autenticare a ogni run. Un pattern più nuovo è emerso a metà 2026: un browser a login condiviso che gira accanto ai tuoi tab, dà a ogni agente il suo workspace isolato e ti restituisce snapshot strutturati della pagina invece di HTML grezzo. Il 24 luglio 2026 l'implementazione di riferimento — citrolabs/ego-lite — ha raggiunto il #1 su GitHub Trending, e ogni CLI di agente maggiore (Claude Code, Codex, Cursor, Kiro) ha ottenuto supporto la stessa settimana.

Questa pagina è la lettura pratica su quel pattern: cosa aggiusta che gli strumenti headless-browser non aggiustano, come si collega a Claude Code in particolare, e il compromesso di sicurezza a cui firmi nel momento in cui lasci che un agente condivida la tua sessione Google.

What you'll learn
  • Capire cos'è un 'browser a login condiviso per agenti' e perché batte Playwright headless sui casi interessanti
  • Vedere come le Spaces isolano i tab dell'agente dai tuoi senza lanciare profili separati
  • Imparare cosa restituisce uno snapshot semantico (e perché usa meno token di un dump del DOM)
  • Installare ego lite e la sua skill in Claude Code con due comandi
  • Pesare il vero costo di sicurezza di dare a un agente i tuoi cookie loggati — e sapere cosa NON fare

Il problema che questo pattern risolve​

Ogni agente che ha mai provato a navigare il web ha sbattuto contro gli stessi tre muri:

  1. Muri di login. Tutto quello che sta dietro SSO — GitHub, la tua mail, il tuo project tracker, la tua banca — è invisibile a un profilo Playwright fresco. Memorizzare credenziali nella config dell'agente per aggirarlo è un incendio di sicurezza.
  2. I dump del DOM sfondano il budget token. Una pagina Google Docs o una moderna app React si snapshotta in decine di migliaia di token di rumore. La maggior parte è impalcatura di layout che al modello non serve.
  3. Il tuo Chrome e il Chrome dell'agente si contendono la stessa finestra. Fai partire un task di browsing lungo e o non puoi usare il browser per 20 minuti, o i tab dell'agente interferiscono con il tuo lavoro.

L'approccio di ego lite — e il motivo per cui lo stesso pattern si sta diffondendo ora — è trattarli come un unico problema. Fai girare una singola build Chromium custom. Dai all'utente i suoi tab. Dai a ogni agente il suo Space — un workspace isolato con il suo stack di tab ma che condivide il profilo. Emetti snapshot semantici invece del DOM grezzo. Tutto resta locale; nessuna gestione di profili separati, nessun HTML spedito fuori.

Spaces: come funziona l'isolamento davvero​

Dalla documentazione di ego lite: "Le Spaces sono workspace che sia tu che il tuo agente potete usare. Raggruppa i tuoi tab per progetto nei tuoi; il tuo agente esegue i suoi task nel suo." Il dettaglio importante è cosa uno Space non è — non è un profilo browser separato e non è un cookie jar separato. È una superficie di tab partizionata che condivide la stessa sessione sottostante. È questo che fa funzionare il login condiviso: quando lo Space dell'agente naviga su github.com, eredita gli stessi cookie auth che usano i tuoi tab loggati, senza che l'agente abbia bisogno di vedere o memorizzare le tue credenziali.

L'isolamento è al livello UX e gestione dei tab, non al confine di sicurezza. È la distinzione portante che la maggior parte dei recensori manca. È perché il pattern è pratico (gli agenti funzionano e basta sui tuoi siti loggati) ed è anche perché la sezione sicurezza qui sotto conta (un agente che opera in uno Space ha gli stessi privilegi effettivi tuoi).

Watch out

Il modello Space condivide i cookie di sessione by design. Quello è il punto — e il rischio. Tutto quello che un agente compromesso o soggetto a prompt injection può fare nel suo Space, può farlo come te, su qualsiasi sito su cui sei loggato. Considera "dai al mio agente uno Space" come equivalente a "lascia che il mio agente agisca come me sul web" — perché lo è.

Snapshot semantici vs. HTML grezzo​

L'altro cambio è cosa l'agente legge quando "guarda" una pagina. Playwright ti passa un DOM. ego lite passa al modello uno snapshot semantico — un riassunto strutturato degli elementi interattivi della pagina con reference stabili su cui puoi agire, prodotto da dentro un engine Chromium custom invece che da uno shim JavaScript su Chrome standard. Il claim del vendor è che "task complessi nel browser finiscono fino a 3,45x più veloci di agent-browser, con meno token" (lite.ego.app). Il moltiplicatore esatto dipende dal task; la direzione — meno token, azioni ref più affidabili tra iframe e shadow DOM — è l'insight durevole, ed è la stessa ragione per cui l'Accessibility Tree di Chrome DevTools e le proposte W3C emergenti orientate all'AI vanno nella stessa direzione.

★ Perché conta oltre ego lite: l'idea "dai al modello una vista semantica, non un dump del DOM" si diffonderà. Quando valuti un qualsiasi tool browser-per-agenti nei prossimi 12 mesi, chiedi che forma ha lo snapshot. Se è un dump HTML, lo paghi nel conteggio token di ogni turno. Se è uno snapshot strutturato e ref-abile, l'agente può pianificarci sopra a poco prezzo.

Installare ego lite per Claude Code​

Due artefatti, due comandi. Prima l'app browser (una build Chromium per macOS — Windows e Linux sono in roadmap ma non ancora in spedizione a fine luglio 2026), poi la skill che insegna ai tuoi agenti a parlarci.

Guided walkthrough1 of 5
  1. Scarica il .dmg dal sito del progetto (Apple Silicon o Intel), o installa via il flusso documentato del progetto. Il primo avvio offre la migrazione opzionale di login Chrome, cookie, estensioni e bookmark nel profilo ego lite.

Claude Code — inizia piccolo: l'agente esegue un singolo task autenticato nel suo Space

/ego-browser
Open my GitHub notifications tab. For each notification from the last 24 hours,
report: repo, kind (issue/PR/mention), title, and a one-line summary of the
newest comment. Do not click through, do not mark anything as read, do not
navigate away from the notifications page.

Nota cosa fa il prompt: definisce la superficie (pagina notifiche), lo scope read-only (riporta; non cliccare; non marcare) e l'artefatto (una lista strutturata). Ogni prompt che dai a un agente a login condiviso dovrebbe avere quei tre elementi, perché lo stai facendo girare come te stesso.

Cosa c'è davvero nella skill ego-browser​

La skill espone un piccolo set di tool JavaScript-invocabili contro cui l'agente scrive snippet — navigate, snapshot, click, fill, wait, capture. L'approccio code-based è deliberato: invece di un loop di tool-calling chiacchierone dove l'agente chiede "per favore clicca l'elemento ref-12," l'agente scrive un blocco JavaScript che compone diverse azioni e riceve indietro un risultato strutturato solo. È da lì che viene il claim "meno turni, meno token" nella pratica — il numero di round-trip cala.

Non devi scrivere quegli snippet tu. La skill e il modello lo fanno. Quello che dovresti sapere è:

  • Ogni azione è riferita all'ultimo snapshot. Se la pagina è cambiata sotto l'agente, il ref è stantio e il tool restituisce errore — un'importante proprietà auto-correttiva.
  • La skill include un install.md in skills/ego-browser/references/ — un buon posto da leggere se il tuo agente si lamenta di non trovare il browser.
  • Il codice sorgente MIT-licenziato vive sotto citrolabs/ego-lite a circa 4,3k star a fine luglio 2026, e lo stesso repo ospita anche i sorgenti della skill ego-browser.

Il costo di sicurezza a cui firmi​

È qui che la maggior parte dei tweet entusiasti si ferma e dove inizia l'ingegneria interessante.

Dare a un agente uno Space che eredita le tue sessioni loggate è funzionalmente equivalente a dargli i tuoi cookie di sessione. Tutto quello che la same-origin policy permetterebbe a te di fare in un browser — postare per tuo conto, esfiltrare documenti da Google Drive, trasferire soldi da una sessione bancaria, invitare un collaboratore esterno in un repo privato — è dentro le capacità dell'agente. Non è un bug in ego lite; è la proposta di valore. La postura di sicurezza è il prezzo dell'ergonomia.

Tre pratiche concrete riducono il blast radius senza rinunciare al vantaggio:

  • Spaces diversi per tier di fiducia diversi. Google personale + email in uno Space. SaaS di lavoro in un altro. Tutto quello che è sperimentale o non fidato (URL arbitrari da internet) in un terzo che è stato deloggato da tutto quello che conta.
  • Non puntare mai un agente a login condiviso su un URL non fidato che non hai recuperato tu. Tutta la classe di attacchi di prompt injection indiretta atterra più forte qui — una pagina può portare istruzioni nascoste che pilotano l'agente in un'azione di esfiltrazione dati contro i tuoi altri siti loggati. Correlato: Browser agentici e rischio same-origin.
  • Prompt read-only di default. Chiedi prima sommari e liste. Introduci azioni (click, compilazione form) solo dopo aver visto lo snapshot su cui l'agente sta ragionando. È la stessa disciplina che rende le esecuzioni autonome sicure.

Dove sta andando questo pattern​

Grok, Cursor e Kiro hanno tutti aggiunto integrazioni shared-browser nello stesso mese, e il meccanismo sottostante — un Chromium custom più un livello skill che emette snapshot semantici — è probabile che venga standardizzato invece di essere di proprietà di un singolo progetto. La domanda interessante a breve termine non è se ogni coding agent otterrà una modalità shared-browser; è se il formato dello snapshot converge (così una skill agente scritta per un browser funziona su un altro) o si frammenta come hanno fatto i primi MCP server.

Il concetto da tenere: il browser sta diventando una superficie condivisa tra umani e agenti, non due browser separati puntati sulle stesse pagine. Questo ridisegna cosa costa il "computer use" e su cosa lo si può puntare in sicurezza. Vedi anche Agenti di computer use per come la feature di controllo browser di Claude si confronta con questo pattern.

Verifica te stesso

0/4
  1. Cos'è uno Space in ego lite?
  2. Perché uno snapshot semantico batte un dump del DOM grezzo per il lavoro dell'agente?
  3. Qual è il rischio di sicurezza principale di un agente browser a login condiviso?
  4. Vuoi provare ego lite per la prima volta con Claude Code. Qual è il primo prompt più sicuro?
Key takeaways
  • I browser a login condiviso danno agli agenti il loro Space nella tua vera sessione browser — risolvendo muri di login, costo token dei dump DOM e contesa della finestra in un solo design.
  • ego lite spedisce oggi questo pattern per macOS; la skill ego-browser (npx skills add citrolabs/ego-lite) lo rende disponibile a Claude Code, Codex, Cursor e Kiro.
  • Gli snapshot semantici tagliano i token per turno e danno ref di azione stabili; il moltiplicatore esatto varia, la direzione è l'insight durevole.
  • Il costo di sicurezza è reale: un agente in uno Space condiviso ha i tuoi privilegi su ogni sito su cui sei loggato. Usa Spaces separati per tier di fiducia, tieni fuori URL non fidati, preferisci prima prompt read-only.
  • Questo è un pattern, non un prodotto. Aspettati convergenza su 'browser come superficie condivisa tra umani e agenti' nell'ecosistema nei prossimi 6-12 mesi.

Fonti e approfondimenti​