Исследователь Гал Вейцман из стартапа Forever Security назвал класс уязвимостей Embrace (EMbedded BRowser). Все пять инструментов наделили встроенный браузер возможностями, которых у обычного браузера нет. Из-за этого привычная модель угроз ломается.
По инструментам
- Cursor — выполнение кода. Страница во встроенном браузере могла обратиться к composer агента. Агент выполнял скрытые инструкции, вплоть до команд на хосте. Тихо исправлено 1 октября, без advisory.
- GitHub Copilot — подмена адреса. Страница сама сообщала свой URL, а приложение проверяло только формат. Фишинговая страница могла показывать
github.com/login. Исправлено в версии 1.1.29 от 13 октября. - Claude Desktop — чтение любых файлов. Локальные страницы ограничены папками проекта, но web worker’ы это ограничение обходили. Anthropic сначала отклонила отчёт как вопрос «доверия рабочему пространству», затем приняла дубликат от Noma Security. Исправление не подтверждено.
- Codex — чтение любых файлов. Ограничения для web worker’ов нет совсем. OpenAI знает о проблеме и работает над ней.
- VS Code — чтение любых файлов. Тот же обход через web worker. Microsoft сочла отчёт невалидным, исследователи считают проблему неисправленной.
CVE не присвоены.
Что делать
Обновить Cursor и Copilot. В остальных инструментах не открывать во встроенном браузере недоверенные страницы и локальные HTML из чужих репозиториев, пока не выйдут исправления.
Researcher Gal Weizman of startup Forever Security calls the class Embrace (EMbedded BRowser): all five tools gave their embedded browser powers a normal browser doesn’t have, which breaks the usual threat model.
Tool by tool
- Cursor: code execution. A page in the built-in browser could reach the agent’s composer, and the agent followed hidden instructions up to running commands on the host. Silently fixed on 1 October, no advisory.
- GitHub Copilot: address spoofing. Pages reported their own URL and the app only checked its format, so a phishing page could display
github.com/login. Fixed in 1.1.29 on 13 October. - Claude Desktop: arbitrary file read. Local pages are limited to project folders, but web workers bypassed that. Anthropic first rejected the report as a workspace-trust matter, then accepted a duplicate from Noma Security. A fix is not confirmed.
- Codex: arbitrary file read. No web worker restriction at all. OpenAI says it is aware and working on it.
- VS Code: arbitrary file read. Same web worker bypass. Microsoft deemed it invalid; the researchers say it remains unpatched.
No CVEs have been assigned.
What to do
Update Cursor and Copilot. In the others, avoid opening untrusted pages or local HTML from unfamiliar repos in the embedded browser until fixes land.