AI 安全公司 Forever Security 在 10 月 29 日公开了一类名为 EMBRACE（EMbedded BRowser，内嵌浏览器）的安全缺陷，波及 Cursor、GitHub Copilot、Anthropic Claude Desktop、微软 VS Code 与 OpenAI Codex 五款主流 AI 编程工具。共同根源是各家给内嵌浏览器加了超出普通浏览器的能力，破坏了原有的安全边界：智能体输入、地址栏权威、主机访问三处都可能被利用。
Cursor 的问题最严重：内嵌浏览器里的恶意网页能调用智能体的 composer，把隐藏指令喂给编程助手，助手照做后可在宿主机上执行命令。研究人员在演示中用一条安装命令拉起了计算器，证明代码执行已经打通。Forever 在 9 月 10 日披露，Cursor 于 10 月 1 日悄悄修掉，没有发安全公告、也没有回复披露。GitHub Copilot 1.1.27 则存在地址栏伪装：恶意页面可让地址栏显示 github.com/login 之类的地址，底下却是假页面；GitHub 在 10 月 13 日的 1.1.29 版自行修掉，未收到过 Forever 的报告。
另外三款是文件窃取：Claude Desktop、VS Code 与 Codex 里打开的本地 HTML 文件能越过边界读取本机文件。Claude Desktop 与 VS Code 本来把本地页面限制在项目文件夹内，但这层限制对 web worker 无效，恶意页面起一个 worker 就能绕过；Codex 干脆没有这层限制，本地页面可以直接读任意文件。研究人员在演示中读走了 SSH 密钥、开发者 token 与私人文档。
修复状态明显分化：Claude Desktop 的问题 7 月 23 日已报给 Anthropic，对方以“workspace trust 边界”为由认定无效；Codex 7 月 27 日报给 OpenAI，至今无回应、未修复；VS Code 9 月 10 日报给微软，同样被定为无效的 workspace trust 问题、未修复。也就是说，五款里仍有两款的漏洞处于未修复状态。正在用这些工具的开发者，应避免在内嵌浏览器里打开不可信的本地 HTML 文件或访问可疑页面。相关背景可看站内 埃森哲承包商把 Claude 智能体接进五角大楼网络与 GitHub 把 Copilot 变成云端连贯体验。
来源：The Register，原文：https://www.theregister.com/security/2026/10/29/researchers-find-bugs-in-5-ai-developer-tools-with-openai-and-microsoft-flaws-still-unpatched/5306508
没有回复内容