Un assistente AI può divenire ancora più utile se smette di limitarsi a rispondere e comincia a portare avanti un’attività: cercare informazioni, aprire siti, usare strumenti diversi, creare file, verificare risultati e riprendere il lavoro da dove lo aveva lasciato. È la direzione verso cui si stanno muovendo i sistemi agentici più evoluti, che cercano di trasformare il modello linguistico in una sorta di coordinatore capace di usare software e risorse esterne. ChatGPT Work è una soluzione, disponibile per i piani a pagamento (escluso Go) studiata per affrontare incarichi articolati, usare browser e applicazioni, eseguire codice, manipolare documenti e coordinare più strumenti.
Prima con Code Interpreter e gli strumenti di analisi, poi con Codex, Operator e i connector verso servizi esterni, OpenAI ha proposto agli utenti un piano ambizioso. A inizio luglio scorso la società ha spiegato che Codex aveva superato i 5 milioni di utenti settimanali e che oltre un milione di persone già lo utilizzava per attività che andavano oltre la programmazione.
Cos’è ChatGPT Work e come funziona
ChatGPT Work prova a trasformare ChatGPT da assistente che produce risposte a agente capace di portare avanti attività articolate: consultare file e applicazioni, navigare sul Web, eseguire codice, creare documenti, fogli di calcolo e siti, mantenere un lavoro attivo per molto tempo e riprendere informazioni prodotte in precedenza.
Come accennato in precedenza, OpenAI lo ha presentato il 9 luglio 2026 come evoluzione delle tecnologie sviluppate per Codex.
La definizione ufficiale, però, spiega solo una parte della storia. OpenAI suggerisce di usare il classico Chat per domande, spiegazioni e bozze brevi mentre passare a Work quando serve ottenere un risultato concreto, per esempio un’analisi, una presentazione, un documento o un flusso di lavoro.
ChatGPT Chat produce file e svolge analisi complesse da tempo ma Work introduce un ambiente operativo più vicino a quello di un agente, con strumenti e risorse che non coincidono necessariamente con quelli disponibili in una conversazione tradizionale.
ChatGPT Work cloud e desktop non sono la stessa cosa
Su web e dispositivi mobili, ChatGPT Work può operare su infrastruttura remota. Quando deve navigare, per esempio, utilizza un sistema separato nel cloud, dotato di un proprio browser, cookie e sessioni autenticate. Il browser personale dell’utente rimane fuori dal processo: cronologia, schede aperte, password memorizzate, estensioni e cookie del PC o dello smartphone non passano automaticamente alla macchina utilizzata dall’agente.
L’applicazione desktop (download) può invece lavorare anche con risorse presenti sul computer. OpenAI spiega che ChatGPT Work può accedere, in funzione dei permessi concessi, a file locali, applicazioni e browser; la funzione Computer Use può inoltre interagire con l’interfaccia grafica facendo clic, digitando e spostando file. È un’eredità piuttosto evidente di Codex: dal luglio 2026 la precedente applicazione Codex è confluita nella nuova app ChatGPT per Windows e macOS.
Va chiarito anche un dettaglio sulla disponibilità: la documentazione OpenAI aggiornata indica però una situazione piuttosto articolata. ChatGPT Work su Web e mobile è arrivato inizialmente a Pro, Enterprise ed Edu, seguito da Plus e Business, mentre nell’app desktop Chat, Work e Codex risultano disponibili anche sul piano Free.
Non è soltanto ChatGPT con più tempo a disposizione
Una sessione Work può scomporre una richiesta in attività più piccole, utilizzare strumenti differenti e continuare a lavorare mentre l’utente segue l’avanzamento o interviene per correggere la direzione. OpenAI parla esplicitamente di progetti che possono richiedere ore: anziché pensare alla conversazione come a una sequenza domanda-risposta, Work tratta la richiesta come un obiettivo da raggiungere.
In pratica, un incarico potrebbe iniziare con la consultazione di documenti su Google Drive, proseguire recuperando dati da un’applicazione collegata, richiedere una ricerca web, generare un foglio di calcolo e concludersi con una presentazione.
I plugin forniscono accesso controllato a servizi come Slack, Microsoft Teams, Google Drive, SharePoint, email, calendari, CRM e gestori di progetto. ChatGPT può decidere autonomamente quando utilizzarli oppure l’utente può richiamarne uno esplicitamente.
La distinzione tra tool e Skill è interessante: un tool espone un’operazione concreta, per esempio cercare sul web o manipolare un file. Una Skill contiene invece istruzioni operative che spiegano all’agente come combinare strumenti, procedure e controlli per completare una determinata classe di attività.
Le Skills spiegano come ChatGPT riesce a fare lavori complessi
Tra le Skills figurano moduli dedicati a documenti, PDF, immagini, fogli di calcolo, dashboard, browser e Sites.
La Skill relativa ai documenti, per esempio, non si limita a dire al modello di “creare un DOCX“. Contiene una vera procedura di produzione: costruzione del documento, rendering delle pagine, trasformazione in immagini PNG, controllo visivo e nuova generazione se emergono difetti di impaginazione.
Lo stesso approccio compare nelle Skills dedicate ai PDF, ai fogli di calcolo e alla generazione di immagini. Più che un singolo modello onnipotente, quindi, Work assomiglia a un agente che riceve un obiettivo, consulta istruzioni specializzate e attiva gli strumenti più adatti. È probabilmente questa la chiave per comprendere perché due richieste apparentemente simili possano essere gestite in modo molto diverso da Chat e da Work.
Uno degli aspetti più significativi riguarda l’esecuzione di codice. ChatGPT dispone da anni di ambienti isolati capaci di eseguire Python e altre operazioni, derivati dal meccanismo originariamente noto come Code Interpreter. ChatGPT Work porta l’idea più avanti: l’ambiente operativo può, quando le autorizzazioni lo consentono, accedere alla rete. L’accesso può sottostare a policy che limitano domini, rete, filesystem e azioni autorizzate; negli ambienti Enterprise gli amministratori possono controllare l’accesso al browser, agli strumenti collegati e alla rete.
Il browser cloud è un vero browser, non una ricerca Web evoluta
La ricerca Web tradizionale recupera pagine e informazioni. Il browser di Work può invece interagire con un sito: aprire pagine, seguire collegamenti, leggere l’interfaccia, digitare nei campi e compiere operazioni autorizzate. OpenAI specifica che il browser gira su una macchina remota separata dal dispositivo dell’utente.
La Skill dedicata al browser fa riferimento a Chrome controllato tramite CDP, Chrome DevTools Protocol, e a un runtime chiamato browser-client. Le istruzioni interne indicano la possibilità di operare sul DOM (struttura di ciascuna pagina web) e utilizzare API simili a quelle offerte da Playwright. L’agente può ragionare sulla rappresentazione strutturata della pagina e, quando serve, affiancarla all’analisi visiva. Per attività ripetitive sulle applicazioni web è un comportamento che ha un valore davvero prezioso.
Restano ovviamente i limiti pratici. Alcuni siti rifiutano browser automatizzati, altri presentano CAPTCHA o metodi di autenticazione non supportati.
Password e autenticazione: il modello non deve vedere le credenziali
Uno dei problemi più delicati emerge quando ChatGPT Work deve utilizzare un sito previa autenticazione. OpenAI ha predisposto un meccanismo separato: al momento del login l’attività si interrompe e l’utente può inserire direttamente credenziali ed eventuali codici di autenticazione a due fattori.
La documentazione afferma che username e password inseriti attraverso il modulo sicuro non risultano visibili al modello e non vengono utilizzati per l’addestramento. La sessione autenticata può restare disponibile nel browser cloud per incarichi successivi, finché l’utente non elimina i dati del browser o effettua il logout.
Se il modello ricevesse direttamente password e token, qualsiasi vulnerabilità da prompt injection avrebbe conseguenze molto più serie. Tenere le credenziali fuori dal flusso testuale riduce il rischio, anche se non elimina quello derivante dall’utilizzo di una sessione già autenticata.
Il filesystem persistente cambia il modo di lavorare tra sessioni
Un aspetto di rilevo riguarda il filesystem: ogni sessione ChatGPT Work fa perno su una directory di lavoro simile a /workspace/scratch/abcd12345, ma le cartelle rimangono disponibili anche successivamente.
Ancora più curioso: il volume /workspace sembra montato contemporaneamente nelle diverse sessioni Work attive. Una modifica apportata da una sessione risultava immediatamente leggibile dalle altre. I processi, invece, appaiono isolati: un server esposto su localhost da una sessione non diventava automaticamente raggiungibile dalle altre.
Un filesystem persistente consente all’agente di trattare file e risultati precedenti come materiale di lavoro, riducendo la natura usa-e-getta tipica dei container temporanei.
ChatGPT Sites porta il risultato direttamente sul Web
ChatGPT Work non deve necessariamente terminare le sue attività con la produzione di un documento PDF o di un foglio Excel.
OpenAI ha introdotto anche ChatGPT Sites, funzione che permette di trasformare il materiale prodotto dall’agente in un sito o in una Web app condivisibile tramite URL. OpenAI cita dashboard, tracker di progetto, calendari, prototipi, portali interni e report interattivi tra gli utilizzi previsti.
Per gli incarichi più complessi Work può inoltre delegare parti del problema a sub-agent: anziché costringere una singola sequenza di ragionamento a esaminare tutto in ordine, un agente principale può distribuire attività indipendenti e raccoglierne successivamente i risultati.
Gli utenti possono ricorrere a differenti varianti dei modelli GPT-5.6, indicate nell’interfaccia come Sol, Luna e Terra, insieme a diversi livelli di reasoning. Disponibilità, denominazioni e limiti possono cambiare in funzione del piano e dell’aggiornamento del servizio; OpenAI, nella presentazione di Work, si limita a indicare GPT-5.6 come modello di riferimento per il prodotto.
Il valore pratico dei sub-agent emerge soprattutto nelle ricerche estese: uno può analizzare documentazione, un altro verificare dati, un altro ancora preparare un artefatto finale. Parallelizzare non rende automaticamente corretta una risposta: più agenti significano anche più risultati da confrontare e più possibilità di propagare una supposizione errata.
Il vero problema è la prompt injection
Più aumentano gli strumenti disponibili, più la sicurezza diventa centrale. Un agente possiede accesso a dati privati, legge contenuti non fidati e dispone di un canale attraverso il quale può comunicare verso l’esterno. Quando tutte e tre le condizioni convivono, una prompt injection può trasformarsi da semplice manipolazione del modello a possibile esfiltrazione di informazioni.
Immaginiamo un agente incaricato di leggere una pagina web mentre ha accesso anche a documenti aziendali: una frase nascosta nella pagina potrebbe tentare di convincerlo a recuperare informazioni riservate e inviarle a un server esterno. Il modello deve riconoscere che l’istruzione proviene dal contenuto visitato, non dall’utente.
Le istruzioni della Skill browser affrontano esplicitamente il problema: pagine web, email, documenti, screenshot e file scaricati devono essere trattati come contenuti non affidabili e non possono concedere autonomamente il permesso di inviare, eliminare o condividere dati. Le operazioni sensibili richiedono inoltre controlli e, in diversi casi, una conferma dell’utente.
Auto-review aggiunge un secondo agente prima delle azioni rischiose
OpenAI utilizza anche un meccanismo chiamato Auto-review: quando un’operazione deve superare un confine imposto dalla sandbox, la richiesta può passare a un agente revisore separato che decide se autorizzarla.
La documentazione descrive un processo preciso: l’agente principale lavora nelle modalità read-only o workspace-write; quando chiede di oltrepassare i limiti previsti, un reviewer esamina la richiesta. Tra gli eventi che possono innescare il controllo compaiono comandi shell con privilegi aggiuntivi, accessi di rete bloccati, modifiche fuori dalle directory autorizzate, chiamate MCP (Model Context Protocol) soggette ad approvazione e accesso Computer Use a nuovi domini.
Il revisore dovrebbe fermare comportamenti come l’invio di segreti verso destinazioni non affidabili, la ricerca di token e cookie, l’indebolimento persistente delle protezioni o operazioni distruttive con conseguenze difficili da annullare. Auto-review non espande comunque le directory scrivibili e non abilita automaticamente Internet: decide soltanto chi valuta una richiesta che avrebbe già avuto bisogno di approvazione.
È una barriera utile, ma non uno scudo inviolabile sempre e comunque. La prompt injection contro agenti che possono navigare, leggere informazioni private ed eseguire azioni rimane un problema aperto; qualsiasi architettura del genere deve assumere che alcune fonti consultate tenteranno prima o poi di manipolare l’agente.
ChatGPT Work fa intravedere come cambierà l’uso degli assistenti AI
L’aspetto più interessante di ChatGPT Work non è una singola funzione. Browser automatizzato, esecuzione di codice, plugin, Skills, Sites e automazioni esistevano in forme diverse anche prima. La novità sta nel modo in cui questi componenti possono lavorare insieme sotto il controllo di uno stesso agente.
Una richiesta non produce necessariamente una risposta testuale: può generare una serie di operazioni, file intermedi, ricerche, verifiche, interazioni con servizi esterni e infine un “qualcosa di utilizzabile”.
La comunicazione commerciale di OpenAI descrive ChatGPT Work soprattutto attraverso ciò che permette di ottenere; l’esplorazione tecnica mostra invece una macchina composta da filesystem, browser remoto, sandbox, Skills, tool, sub-agent, policy di autorizzazione e procedure di verifica. Guardato da questa prospettiva, ChatGPT Work non è una modalità Chat più potente: è il tentativo di trasformare ChatGPT in un ambiente operativo nel quale il modello coordina strumenti reali.
Resta però una conseguenza inevitabile: maggiore autonomia significa maggiore attenzione ai permessi. Prima di collegare email, cloud storage, CRM, browser autenticati e sistemi aziendali conviene applicare lo stesso principio che vale per gli account umani e per i servizi software: concedere soltanto gli accessi realmente necessari. La qualità del modello conta molto; il principio del privilegio minimo deve continuare a fare la parte del leone.
Powered by WPeMatico