Safari MCP: gli agenti AI ora controllano il tuo browser

Da Safari 27.0 un agente di coding può aprire il browser, guardare come viene renderizzato il codice che ha appena scritto e leggere da solo l’errore in console, senza che nessuno gli incolli uno screenshot. La funzione si chiama Safari MCP e sta dentro le note di rilascio più lunghe mai pubblicate da WebKit, uscite il 17 settembre 2026: 83 funzionalità totali in un solo aggiornamento. Vale la pena capire cosa vede davvero un agente quando gli apri la finestra del browser, e cosa comporta lasciarglielo fare su un’applicazione aziendale.

In questo articolo scoprirai:

• Cos'è Safari MCP e cosa vede un agente dentro il browser
• Come attivare Safari MCP: impostazioni di Safari e comando safaridriver
• Debugging e test end-to-end con Safari MCP: DOM, network e console
• Chrome MCP server, Firefox MCP e Playwright MCP: dove si colloca Safari MCP
• Agenti AI che navigano il browser in azienda: perimetro, permessi e observability

Cos’è Safari MCP e cosa vede un agente dentro il browser

Safari MCP è un server MCP (Model Context Protocol) che espone il browser a un agente di coding. WebKit lo descrive come lo strumento che permette all’agente di «vedere come il tuo codice viene renderizzato in Safari», cioè di vedere il risultato invece di immaginarlo. Le superfici a cui accede sono quattro: il DOM, le richieste di rete, gli screenshot e l’output della console, come elencato nell’annuncio ufficiale.

La parte che conta per chi valuta il rischio è dichiarata in modo netto. Il server, scrive WebKit, «gira interamente sulla tua macchina locale» e «non effettua chiamate di rete proprie»; non ha accesso alle informazioni personali dentro Safari, e i dati catturati vanno direttamente all’agente che stai usando, non ad Apple. È una separazione importante: il perimetro di fiducia non si sposta verso Cupertino, si sposta verso il modello che hai collegato, e il modello da solo non basta. Che è un problema diverso, non un problema minore.

Il protocollo sotto è lo stesso che sta diventando lo standard di integrazione per gli agenti. MCP è definito dalla documentazione ufficiale come «uno standard open source per connettere applicazioni AI a sistemi esterni», paragonato a una porta USB-C per l’AI. Se hai già letto come MCP collega gli agenti ai sistemi aziendali, il salto concettuale qui è piccolo: cambia il sistema collegato, che stavolta non è un tool SaaS dietro connettore, ma il browser dell’utente.

Come attivare Safari MCP: impostazioni di Safari e comando safaridriver

L’attivazione passa da due punti. Primo, il flag nel browser: Safari > Impostazioni > Sviluppo > «Consenti automazione remota e agenti esterni». Se il pannello Sviluppo non compare, va prima abilitato in Avanzate con «Mostra funzioni per sviluppatori web», secondo le istruzioni di WebKit. Secondo, la registrazione del server presso l’agente: per Claude il comando documentato è claude mcp add safari-mcp -- "/usr/bin/safaridriver" --mcp, per Codex l’equivalente codex mcp add, e per gli altri client si passa da mcp.json indicando safaridriver con argomento ["--mcp"].

Qui sta l’aspetto meno ovvio della notizia. Safari MCP non è un binario nuovo: è safaridriver con un flag in più. Quel programma è l’implementazione WebDriver di Safari, documentata da Apple, e come ricorda la documentazione Selenium «safaridriver è installato con il sistema operativo» e si abilita storicamente con safaridriver --enable. L’automazione del browser su Mac esisteva da anni: quello che Apple ha aggiunto è una traduzione in MCP, cioè la lingua che gli agenti parlano già.

Come aggiornare Safari per avere Safari MCP

Non esiste un download separato. Apple è esplicita nella pagina di supporto: «Safari è incluso nel sistema operativo del tuo dispositivo» e una versione più recente si ottiene installando gli aggiornamenti o gli upgrade del sistema. Tradotto: per avere Safari MCP serve portare il Mac alla versione di macOS che include Safari 27, non cercare un installer.

Safari MCP su Windows: perché non è un’opzione

La domanda ricorre, e la risposta è chiusa da più di dieci anni. Apple lo scrive esplicitamente: «non offre più aggiornamenti di Safari per Windows o altri sistemi operativi non Apple», e Safari 5.1.7 per Windows è stata l’ultima versione rilasciata. Su Windows non c’è nessun Safari MCP da attivare: chi deve verificare il rendering WebKit da PC deve passare da un runner remoto o da Playwright.

Debugging e test end-to-end con Safari MCP: DOM, network e console

Il cambiamento pratico è la chiusura del ciclo. Fino a ieri il flusso era: l’agente scrive, l’essere umano prova, l’essere umano descrive a parole cosa è andato storto. Con l’accesso diretto, l’agente osserva il fallimento invece di riceverne il racconto. WebKit indica gli usi previsti: verificare stati utente in form e flussi di checkout, confrontare gli stili calcolati tra browser diversi, testare problemi di accessibilità e analizzare metriche di performance, come si legge nelle note di rilascio.

C’è un motivo per cui questa mossa arriva proprio ora su Safari. Il rilascio 27.0 è soprattutto un’operazione di stabilità: 844 problemi risolti, pari all’86% del changelog. Un browser che si comporta in modo più prevedibile è un browser su cui un test automatico dà meno falsi positivi, e un agente che sbaglia diagnosi perché il motore è incoerente brucia tempo invece di risparmiarlo.

Resta una distinzione da tenere ferma. L’agente vede cosa succede nella pagina, non cosa doveva succedere: legge un 403 nella console, non sa se quel 403 è un bug o la regola di business. Il salto da «osservazione» a «giudizio» è lo stesso che separa un agente che esegue da un agente che decide, un confine che abbiamo trattato parlando di cosa fanno gli agenti AI e di come Anthropic ha affrontato il problema con Computer Use e Dispatch.

Chrome MCP server, Firefox MCP e Playwright MCP: dove si colloca Safari MCP

Safari arriva ultimo, e il confronto è utile perché mostra quanto in fretta si sia consolidato lo standard. Google ha presentato Chrome DevTools MCP il 23 settembre 2025, installabile con npx chrome-devtools-mcp@latest: dà accesso a DOM e CSS, richieste di rete, log di console, screenshot e tracce di performance complete con metriche come l’LCP, che è oggi il vantaggio più visibile su Safari.

Mozilla ha la sua implementazione ufficiale. Firefox DevTools MCP è descritto nella documentazione del progetto come «l’MCP ufficiale di Mozilla per lo sviluppo su Firefox», si installa con claude mcp add firefox-devtools npx @mozilla/firefox-devtools-mcp-moz e usa il protocollo moderno WebDriver BiDi via Selenium, con Marionette per le parti non ancora portate. Stessa logica di Apple: uno stack di automazione che esisteva già, riesposto in MCP.

Safari MCP o Playwright MCP: quale serve per i test cross-browser

Sono due mestieri diversi. Playwright MCP, mantenuto da Microsoft, lavora sull’albero di accessibilità e non su input basati sui pixel, il che lo rende deterministico e più economico in token perché non richiede un modello di visione; supporta Chromium, Firefox e WebKit in un solo strumento. Se ti serve la suite end-to-end che gira uguale su tre motori, è quello. Safari MCP serve quando il bug è di Safari: ti dà la finestra reale, con le preferenze reali e il motore reale, non un WebKit impacchettato. Sotto, comunque, parlano tutti lo stesso protocollo aperto, arrivato alla specifica 2026-07-28.

Agenti AI che navigano il browser in azienda: perimetro, permessi e observability

Un agente con il browser in mano è una categoria di rischio nuova, e chi costruisce questi strumenti lo dice per primo. La documentazione di Playwright MCP è brutale: «Playwright MCP non è un confine di sicurezza», e le protezioni disponibili, allowlist di host, filtri sulle origini, restrizioni sui file, sono definite «difese di comodo», non barriere reali, con la raccomandazione esplicita di affidarsi ai permessi a livello di client. Vale come avvertimento generale per tutta la categoria.

Permessi e perimetro per gli agenti AI nel browser

Il punto delicato non è il DOM: è la rete. Un agente che legge le richieste di un’applicazione autenticata sta leggendo token, header e payload; un agente che naviga una pagina esterna sta leggendo testo scritto da qualcun altro, cioè il vettore classico della prompt injection. In azienda questo si governa prima di attivare il flag, non dopo: serve decidere chi può abilitare l’automazione, su quali ambienti e con quali credenziali, la matrice dei permessi conta più della scelta del browser, perché una configurazione sbagliata è la causa più frequente degli incidenti noti.

Observability: cosa registra un agente AI che naviga il browser

La seconda metà del lavoro è sapere dopo cosa è successo, e qui l’unità di misura non è astratta: è la sessione WebDriver. safaridriver è l’implementazione WebDriver di Safari, documentata da Apple, e ogni automazione apre una sessione con un proprio identificativo, dentro cui passano i comandi eseguiti (naviga, clicca, compila, leggi) e le richieste di rete che la pagina genera. Sono le stesse quattro superfici che l’agente vede, DOM, network, screenshot, console, solo guardate dal lato di chi deve rendere conto.

Per poter ricostruire un incidente servono tre cose conservate, non una generica «tracciabilità»: l’identificativo della sessione (per legare un’azione a un’esecuzione precisa e alla persona che l’ha avviata), l’ambiente su cui la sessione ha girato (staging o produzione, con quale profilo e quali credenziali), e l’elenco delle richieste autenticate toccate (quali endpoint dell’applicazione interna sono stati chiamati e con quali token). Senza il primo non sai chi, senza il secondo non sai dove, senza il terzo non sai cosa è stato esposto, ed è esattamente la struttura di log che serve a un agente in produzione, non solo nel browser: l’abbiamo descritta parlando di osservabilità degli agenti AI in produzione.

E c’è l’azione pratica che chiude il cerchio con il flag visto sopra: «Consenti automazione remota e agenti esterni» resta attivo anche dopo che la sessione è finita. Va disattivato quando il lavoro è concluso, oppure confinato a macchine e profili dedicati all’automazione, altrimenti è una porta lasciata aperta su un browser che nel frattempo torna a fare il browser di tutti i giorni, con le credenziali di tutti i giorni.

È la differenza tra installare un server MCP e progettare un sistema. Un plugin si attiva in due minuti; un agente che naviga applicazioni aziendali richiede perimetro definito, permessi minimi, ambienti separati e log di cosa ha fatto. Per questo in MIMIR l’agente non è solo un prodotto da consegnare: c’è un affiancamento dedicato in fase di onboarding, perché le scelte che contano si fanno nella prima settimana di configurazione. Se stai valutando agenti che operano sulle vostre applicazioni web, parlarne prima di aprire il browser costa molto meno che rimediare dopo.

Fonti:

• WebKit Features in Safari 27.0 (WebKit Blog)
• About WebDriver for Safari (Apple Developer Documentation)
• Aggiornare Safari all’ultima versione (Supporto Apple)
• Safari WebDriver (documentazione Selenium)
• Introduzione al Model Context Protocol (documentazione ufficiale MCP)
• Chrome DevTools MCP server (Chrome for Developers)
• Firefox DevTools MCP (Mozilla Source Docs)
• Playwright MCP (repository Microsoft su GitHub)