ChatGPT Atlas

Was ist ChatGPT Atlas?

ChatGPT Atlas ist ein Webbrowser, den OpenAI am 21. Oktober 2025 vorgestellt hat, mit ChatGPT als Kern. Er startete weltweit für macOS in den Tarifen Free, Plus, Pro und Go, für Business als Beta und für Enterprise und Edu, wenn der Admin ihn freigab.

Atlas brachte drei Funktionen zusammen: eine Seitenleiste „Ask ChatGPT“, die die geöffnete Seite versteht, Browser Memories, die sich Inhalte besuchter Seiten merken, und einen Agentenmodus, der Aufgaben im Browser selbst erledigt. Damit gehört Atlas zu einer neuen Klasse von KI-Agenten, die nicht in einer Cloud-Umgebung, sondern im echten Browser des Nutzers arbeiten. Den Begriff erklärt die Seite KI-Agenten.

Gibt es ChatGPT Atlas noch?

Nein. OpenAI hat am 9. Juli 2026 in den Release Notes angekündigt, Atlas abzukündigen und die Agentenfunktionen im Browser in ChatGPT und Codex zu übernehmen. Atlas sollte laut Hilfeartikel am 9. August 2026 aufhören zu funktionieren. Im aktuellen Hilfeartikel steht, Stand November 2026, dass Atlas eingestellt ist und keine Updates mehr bekommt.

Als Ersatz nennt OpenAI die neue ChatGPT-Desktop-App mit eingebautem Browser für tiefere Agentenarbeit und die ChatGPT-Erweiterung oder Seitenleiste für Chrome, wo verfügbar. Aufgaben, die ChatGPT Work im Web erledigt, laufen im Cloud-Browser auf einem Rechner bei OpenAI, wie auf der Seite zum ChatGPT Agent beschrieben.

Ein nicht mehr gepflegter Browser bekommt keine Sicherheitsupdates. Ist Atlas auf Firmenrechnern noch installiert, sollte er entfernt werden.

Wie funktionierte der Agentenmodus in Atlas?

Im Agentenmodus sah ChatGPT Webseiten an und führte Klicks und Tastatureingaben in Ihrem Browser aus, wie Sie es selbst tun würden. OpenAI nannte Beispiele wie Zutaten für ein Rezept in einen Warenkorb legen und bestellen oder Teamdokumente lesen und daraus ein Briefing erstellen. Zum Start stand der Modus als Vorschau für Plus, Pro und Business bereit.

Weil der Agent in einem Browser mit Ihren Logins und Ihrem Verlauf arbeitete, baute OpenAI laut Einführungsbeitrag diese Grenzen ein:

• Kein Ausführen von Code im Browser, keine Downloads, keine Erweiterungen.
• Kein Zugriff auf andere Apps auf dem Rechner oder auf das Dateisystem.
• Pause auf sensiblen Seiten wie Banken, damit der Nutzer zusieht.
• Ein Logged-out-Modus, in dem der Agent keine bestehenden Logins nutzt.

Datenschutz und Browser Memories

Browser Memories waren laut OpenAI freiwillig. Wer sie einschaltete, ließ Inhalte besuchter Seiten auf Servern von OpenAI zusammenfassen. Dabei sollten Filter Ausweisnummern, Kontonummern, Zugangsdaten, Adressen sowie Gesundheits- und Finanzdaten heraushalten. Laut Hilfeartikel löschte OpenAI die Seiteninhalte direkt nach dem Zusammenfassen und die gefilterten Zusammenfassungen innerhalb von 7 Tagen. Unter macOS 26 ließ sich die Zusammenfassung auf das Gerät verlegen.

Für das Training galt laut OpenAI: Inhalte, die Sie in Atlas lesen, fließen standardmäßig nicht ein. Wer „Include web browsing“ einschaltete, gab sie frei, Seiten mit GPTBot-Sperre ausgenommen. Business- und Enterprise-Inhalte nutzt OpenAI nicht zum Training. Der Schalter „Help improve browsing & search“ für Diagnoseprotokolle war dagegen standardmäßig an.

Eine Falle für Aufräumarbeiten: Das Löschen von ChatGPT-Chats löscht laut OpenAI keine Browser Memories, Cookies oder anderen Atlas-Daten. Auch die Deinstallation löscht sie nicht sicher. Für Anfragen zu Atlas-Daten verweist OpenAI auf das Privacy Portal. Was das für die DSGVO bedeutet, steht auf der Seite zum ChatGPT-Datenschutz.

Wie sicher sind KI-Browser?

Ein KI-Browser liest jede Seite, die Sie öffnen, und kann im Agentenmodus mit Ihren Logins handeln. Damit wird jede Webseite zum möglichen Träger von Prompt Injection. OpenAI schrieb schon zum Start, Agenten seien anfällig für versteckte Anweisungen in Webseiten oder Mails, die zum Abgreifen von Daten aus eingeloggten Seiten führen können.

Im Dezember 2025 beschrieb OpenAI einen selbst gefundenen Angriff: Eine präparierte Mail wies den Agenten an, ein Kündigungsschreiben an den CEO des Nutzers zu senden. Als der Nutzer später eine Abwesenheitsnotiz entwerfen ließ, las der Agent die Mail und kündigte in seinem Namen. OpenAI nennt Prompt Injection ein Problem, das wie Betrug im Netz wohl nie ganz „gelöst“ wird.

Die Lücke betrifft die ganze Produktklasse. Brave zeigte im Oktober 2025 Prompt Injection in den KI-Browsern Perplexity Comet und Fellou, etwa über kaum sichtbaren Text in einem Bild. Brave folgert daraus: Browser trennen vertrauenswürdige Nutzereingaben nicht sauber von fremden Webinhalten, Agentenbrowsing sei deshalb von Natur aus gefährlich. Anthropic misst für Claude Opus 4.5 im Browser eine Erfolgsquote von 1,4 Prozent bei einem adaptiven Angreifer mit 100 Versuchen und nennt auch das ein relevantes Restrisiko.

Der Sicherheitsforscher Simon Willison kritisierte zum Start, die Hauptverteidigung von Atlas scheine zu sein, dass Nutzer dem Agenten ständig zusehen. Diese Aufsicht leistet im Arbeitsalltag kaum jemand durchgehend.

Einstellungen und Regeln für KI-Browser

OpenAI empfiehlt für Agenten im Browser drei Dinge: wo möglich im Logged-out-Modus arbeiten, Bestätigungsanfragen sorgfältig prüfen und klare, eng gefasste Aufträge geben. Weite Aufträge wie „Prüfe meine Mails und tu, was nötig ist“ machen es versteckten Anweisungen leichter. Brave rät, Agentenbrowsing vom normalen Surfen zu trennen. Daraus folgen die vier Regeln der Site:

1. Rechte begrenzen

   Agenten im Browser ohne Logins arbeiten lassen. Für Aufgaben mit Login ein eigenes Profil oder einen Cloud-Browser ohne Firmenkonten nutzen.

2. Freigaben einbauen

   Jede Bestätigung für Kauf, Mail oder Buchung lesen, bevor Sie zustimmen. Wie das im Alltag funktioniert, zeigt Human in the Loop.

3. Eingaben trennen

   Kein Agent, der Ihr Postfach liest, sollte zugleich frei im Web surfen. Versteckte Anweisungen kommen über Seiten, Mails und Dokumente, siehe indirekte Prompt Injection.

4. Protokollieren

   Festhalten, welche KI-Browser und Erweiterungen im Einsatz sind und welche Konten sie nutzen. Browserdaten nach sensiblen Aufgaben löschen.

Empfehlung für Unternehmen

OpenAI rät Workspace-Admins im Hilfeartikel, Mitarbeiter auf einen freigegebenen, unterstützten Browser umzustellen, interne Anleitungen zu Atlas zu aktualisieren und daran zu erinnern, keine Passwörter, Cookies oder Sitzungsdateien weiterzugeben. Eine exportierte Passwortdatei im CSV-Format enthält lesbare Passwörter und gehört nach dem Import gelöscht.

Darüber hinaus sollten Sie KI-Browser und Browser-Erweiterungen mit Agentenfunktion als eigene Kategorie in Ihre Software-Freigabe aufnehmen. Ein Mitarbeiter, der einen KI-Browser privat installiert und sich dort mit Firmenkonten anmeldet, erzeugt Schatten-KI mit Zugriff auf alles, was diese Konten sehen.

• Prüfen, ob Atlas noch auf Firmenrechnern installiert ist, und ihn entfernen.
• Datenauskunft oder Löschung von Atlas-Daten über das Privacy Portal von OpenAI anstoßen.
• Nachfolger wie die ChatGPT-Desktop-App erst nach eigener Prüfung freigeben.
• Agentenfunktionen in Browsern per Rolle nur dort erlauben, wo sie gebraucht werden.

Häufige Fragen