8 月 27 日，Claude 宣布 Cowork 内置浏览器正式上线。任务涉及网站操作时，Cowork 可直接调起侧边栏浏览器，自主完成网页导航、信息读取、点击、输入与表单填写，也能从没有专用连接器的门户网站抓取数据——全程无需安装扩展，且与用户本机浏览器完全隔离。
Cowork 的执行方式可以概括为一句话：任务需要时，浏览器自己打开。当任务延伸到网站操作，侧边栏会直接调起一个 Claude 自带的浏览器，Agent 在其中完成导航、信息读取、点击、输入与表单填写——用户不必手动切窗口，也不必安装任何扩展。
它把「上网」这件离人最近的事，交给了 Agent 自己。
注：能力网格是对官方发布信息的功能拆解；实际表现取决于任务类型与目标网页的复杂度。
注：链路为编辑根据官方描述整理。浏览器全程可见可交互，用户可随时观察 Agent 的每一步操作。
评论区里的困惑是真实的。功能正式亮相后，不少人的第一反应是：这不是早就存在的功能吗？把时间线拉出来看，答案很直观——
在开发者工具里率先引入浏览器操作能力。
沙箱运行，不继承用户的登录状态。
开源社区同样在补齐这项能力。
比 Claude Code 晚约一个半月，比 Codex 晚约四个月。
注：时间线按公开信息整理，节点对应各产品「内置浏览器」能力的上线时间，不代表产品整体能力排序。国内各类知识库与 Agent 应用具备同类功能的也不在少数。
换句话说，这不是一次「开创新品类」的发布，而是一次「补齐基础设施」的更新。
但「晚到」不等于「没有意义」。把时间线拉得更长，你会发现另一个信号正在变得清晰：浏览器正在从 Agent 的附加能力，变成基本能力——当所有头部产品都能自己打开网页，这项能力就不再是卖点，而是入场券。
如果只看到「内置浏览器」四个字，可能会忽略一个更重要的设计。Anthropic 借这次更新，专门划出了内置浏览器与 Claude in Chrome 的边界——它们不是替代关系，而是两种工作方式。
两种环境，解决的问题完全不同。
换句话说，Anthropic 没有让一个功能吞掉另一个，而是让两种环境各司其职——需要自主完成的工作交给内置浏览器，需要接手当前现场的工作交给扩展。
注：两种模式可并存，入口在设置中切换；官方未提示任一模式即将下线。
Agent 能上网之后，最大的安全议题也随之出现：恶意网页可能试图操纵 Claude。Anthropic 在发布中明确承认，内置浏览器存在 prompt injection 风险。
prompt injection：恶意网页内容可能诱导 Agent 执行非预期动作。
与 Claude in Chrome 一致：通过审查 Claude 执行的动作来显著降低风险。
官方措辞很直接：可以显著降低，但无法完全消除。
官方建议用户首先从可信网站开始使用。
这也是登录态默认不导入银行、邮箱与 SSO 站点的原因——在 Agent 自主上网的时代，隔离本身就是安全设计的一部分。
注：这类风险并不只属于 Cowork——所有具备网页操作能力的 Agent 都面对同一道题，区别在于防护机制与信息透明程度。
把视线从单次更新上抬起来，这背后的行业信号其实很清楚：自主浏览网页，正在从 Agent 的附加能力变成基本能力。两年前，「AI 自己打开网页操作」还是发布会上的高光演示，今天它已经被用户默认成「早就该有」的东西。
对 Cowork 而言，另一个信号同样值得留意：这个功能的延迟上新，或许能解释它为什么声浪不大——相比 Codex 与 ChatGPT 整合后的办公与编程一体化，定位办公的 Cowork 对个人用户来说似乎没有 Claude 本身实用，更多声音来自企业用户。它补上的，是企业工作流里「把整件事做完」的最后一环。
当「自己打开网页」成为 Agent 的标配，竞争焦点已经从「能不能上网」转向「上网之后能不能把事办完、办得可信」。Cowork 这次补上的不是新卖点，而是一张必须到位的入场券。
内置浏览器本周起向 Pro、Max、Team 三档付费计划推送；Enterprise 企业用户由管理员在组织设置中开启，即日可用。
已在用 Claude in Chrome 的用户可保留原设置，也可随时在设置中切换两种浏览模式。