Indtil nu har en AI-agent, der skulle trykke på en knap på en hjemmeside, gjort det på den mest primitive måde man kan forestille sig: den kiggede på et skærmbillede og gættede sig frem til, at knappen nok lå omkring x: 640, y: 320. Den 20. august gjorde Anthropic det overflødigt. Med det nye Browser Use-værktøj får Claude siden udleveret som struktur, ikke kun som pixels, og kan bede om at klikke på ref_3 i stedet for et punkt på en skærm.
Værktøjet kom sammen med en større oprydning på Claude-platformen, hvor Computer Use, Skills API og Files API alle gik fra beta til generel tilgængelighed. Men Browser Use er den interessante del, fordi den ændrer noget grundlæggende om, hvor meget agenten får lov til at gøre uden at spørge.
Fra koordinater til referencer
Computer Use styrer hele skrivebordet gennem skærmbilleder og musekoordinater. Browser Use arbejder inde i browseren, hvor der findes information, som er umulig at genskabe fra pixels alene.
Når Claude kalder read_page, returnerer udviklerens eget miljø en tekstrepræsentation af sidens tilgængelighedstræ, hvor links, knapper og tekstfelter er mærket med referencer. Vil Claude senere klikke på knappen bag ref_3, sender den referencen med i stedet for at regne ud, hvor knappen sidder. Det er samme principielle bevægelse som da browseren begyndte at fungere som en agentisk arbejdsflade, bare et lag længere nede i maskineriet.
Der er en indbygget skrøbelighed. Navigerer fanen videre, eller ændrer siden sig nok, peger referencen ikke længere på det, den pegede på for et øjeblik siden. API'et opdager det ikke selv. Det er udviklerens miljø, der skal fange, at referencen ikke matcher elementet længere, afvise handlingen og få Claude til at læse siden igen.
Konceptet er ikke nyt. Playwright kan repræsentere en side som et ARIA-snapshot, og Microsofts Playwright MCP-server eksponerer allerede strukturerede tilgængelighedssnapshots med referencer. Puppeteer har det samme via Accessibility.snapshot(). Forskellen ligger i protokollen: Playwright MCP taler MCP, mens Anthropics værktøj bruger sin egen klient-toolset-protokol. Vil man kombinere dem, skal man selv skrive adapteren.
Flere handlinger i ét træk
Den anden ændring handler om økonomi. Tidligere skulle Claude tilbage til modellen efter hvert eneste klik og tastetryk. Nu kan flere handlinger komme som separate tool_use-blokke i samme tur, hvorefter applikationen udfører dem i rækkefølge og sender resultaterne tilbage samlet.
For en opgave med et par interaktioner betyder det ikke meget. For en opgave med hundredvis gør det. Færre modelkald er en af de få måder, token-forbruget i agentiske arbejdsgange kan holdes nede på, uden at man skifter til en dårligere model.
Rækkefølgen kan bare ikke brydes. Beder Claude om at klikke på en knap, udfylde et felt og sende en formular, kan miljøet ikke gå videre til trin to, hvis trin et fejler. Alt det efterfølgende er bygget på en sidetilstand, som Claude aldrig nåede frem til.
Browseren er din, ikke Anthropics
Browser Use er indtil videre kun tilgængeligt via Claude API og indgår ikke i Claude Managed Agents, hvor Anthropic selv kører infrastrukturen. Tilføjer man værktøjet til et Messages API-kald, får Claude 27 browseroperationer stillet til rådighed som udgangspunkt, med yderligere fire hvis man selv slår dem til: javascript_exec, file_upload, read_console og read_network.
Anthropic udfører ingen af dem. Applikationen skal oversætte hver forespørgsel til en handling i sit eget browsermiljø, holde sessionen i live mellem turene og sende nok information tilbage til, at Claude forstår hvad der skete. Det gælder også downloads og uploadede filer, som bliver hos udvikleren. Til sammenligning kører Skills inde i Anthropics egen kodesandkasse, og Files API opbevarer dokumenter, der kan genbruges via ID, nu med 1 TB lagerplads per organisation og fem gange højere rate limits.
Værktøjssættet er heller ikke gratis i kontekst. Anthropics prisdokumentation angiver, at standardsættet lægger cirka 6.600 input-tokens til hver forespørgsel, før man overhovedet har sendt skærmbilleder og tilgængelighedstræer med. Operationer, man ikke bruger, kan slås fra.
Af konkrete tal fra praksis fremhæver Anthropic en automatiseringskunde inden for forsikring, hvor et skadesforløb faldt fra 32 til 13 minutter med omkring 30 procent lavere omkostninger på tværs af de testede arbejdsgange. Computer Use kan desuden nu bruges til HIPAA-regulerede arbejdsgange under en databehandleraftale, hvilket siger noget om, hvor Anthropic forventer at værktøjet ender.
Godkendelsen har ikke fulgt med
Her ligger det, der er værd at standse ved. Hver eneste af disse ændringer flytter en beslutning fra mennesket til modellen. Referencer i stedet for koordinater betyder, at agenten selv vælger sit mål på siden. Flere handlinger per tur betyder, at den selv vælger rækkefølgen. Og et browsermiljø, der kører hos udvikleren med en levende session, betyder at den arbejder videre i en tilstand, ingen har set i mellemtiden.
Anthropic skriver det selv i sikkerhedsvejledningen: batching gør godkendelse sværere, fordi flere handlinger ankommer på én gang, og et harmløst klik i starten af en sekvens kan ende med at føre til noget, der kræver tilladelse. Miljøet skal derfor kontrollere handlingerne, mens de udføres, og stoppe op undervejs. Det er den samme erkendelse, der lå bag beslutningen om at gøre auto mode til standard i Claude Code: godkendelsesdialogen midt i et værktøjskald var aldrig den kontrol, folk troede den var.
Forskellen er, at en kodeagent typisk arbejder i et repository, man selv ejer. En browseragent arbejder i indhold, andre har skrevet. Anthropic anbefaler derfor at køre browseren i en isoleret container eller virtuel maskine med minimal adgang, og at lade JavaScript og filuploads være slået fra medmindre de er nødvendige, fordi kode genereret af Claude kører med sidens rettigheder.
Det er ikke en teoretisk bekymring. I benchmarks af frontier-modeller ligger indirekte prompt injection med succesrater i intervallet 42 til 68 procent, og selv de bedst beskyttede modeller falder igennem, når angriberen får flere forsøg. Claude Opus 4.5 er blandt de sværeste at ramme med 4,7 procent på første forsøg mod Gemini 3 Pros 12,5 og GPT-5.1's 21,9 procent, men med ti forsøg stiger tallet til 33,6 procent. Ingen leverandør har løst problemet.
Ansvaret følger den, der bruger værktøjet
Herhjemme er interessen for agentisk handel stadig lille. I Dansk Erhvervs e-handelsbarometer for 2026 svarer 6 procent, at de vil investere i området, mens omkring halvdelen peger på AI og maskinlæring bredt. Det er et rimeligt udgangspunkt: teknologien er nyere end de processer, den skal ind i.
Men beslutningen om at lade en agent handle i en browser er ikke teknisk alene. Når agenten logger ind i et system med en medarbejders rettigheder, er det virksomheden, der handler, uanset hvem der byggede modellen. Det gør tre ting til forudsætninger snarere end forbedringer:
- Rækkevidde - hvilke systemer sessionen overhovedet kan nå ud til
- Rettigheder - hvilken bruger agenten logger ind som, og hvad den bruger kan
- Sporbarhed - om man bagefter kan rekonstruere, hvad der faktisk blev klikket på
Browser Use gør det væsentligt nemmere at bygge agenter, der arbejder i webapplikationer. Det gør det ikke nemmere at svare på, hvem der trykkede.
Kilder: The New Stack, Anthropic
