五款 AI 编程工具内嵌浏览器被曝漏洞：Codex 与 VS Code 报告发布时未修复

发生了什么

研究由 Forever Security 研究员 Gal Weizman 撰写，EMBRACE 是 EMbedded BRowser 的缩写；核心论点是五款工具都给内嵌浏览器赋予了普通浏览器不会赋予的能力，Weizman 写道，这些能力“破坏了传统的威胁模型”，分别体现在把智能体输入当作指令、把标签页地址的决定权交给页面本身、以及把触角伸向主机。

三类缺陷对应普通浏览器坚守的三条规则：网页不能在主机上执行命令，本地文件不能读取本机其他文件，地址栏内容只能由浏览器决定；Cursor 的缺陷打破第一条，GitHub Copilot 打破第三条，Claude Desktop、Codex 与 VS Code 打破第二条。

分工具看，Cursor 的内嵌浏览器允许网页调用智能体的 composer，智能体把隐藏指令当作用户指令执行，研究演示中通过一次恶意软件包安装命令启动了主机上的计算器程序；Copilot 1.1.27 的浏览器预览接受页面自报的地址，只检查文本是否以 http、https 或 file 开头，攻击页面可以在下方加载钓鱼页面，同时让地址栏显示 github.com/login；Claude Desktop 与 VS Code 把本地页面限制在项目文件夹内，但该限制不适用于 web worker，本地页面可以启动 worker 绕过限制读取任意文件，Codex 则完全没有这项限制，本地页面可以直接读取任意文件，研究演示中读取并外传的文件包括 SSH 密钥、开发者 token 与私人文档。

关键事实

1. 研究方与发布时间：AI 安全公司 Forever Security，研究员 Gal Weizman，报告发表于 2026 年 10 月 29 日。
2. 受影响工具：Cursor、GitHub Copilot、Anthropic Claude Desktop、微软 VS Code、OpenAI Codex，共五款。
3. 缺陷类别名：EMBRACE，即 EMbedded BRowser 的缩写，指内嵌浏览器被当作普通浏览器一样信任。
4. Cursor：内嵌浏览器允许网页调用智能体 composer，隐藏指令被当作用户指令执行，可导致主机代码执行；9 月 10 日披露，10 月 1 日静默修复，Forever 称厂商未发布安全公告、未回复披露。
5. GitHub Copilot：1.1.27 版本的浏览器预览接受页面自报地址，只检查 http、https 或 file 前缀，可显示 github.com/login 等欺骗性地址；9 月 26 日发现，GitHub 在 10 月 13 日的 1.1.29 版本中独立修复，未收到 Forever 的报告。
6. Claude Desktop 与 VS Code：本地页面被限制在项目文件夹内，但限制不适用于 web worker，本地页面可启动 worker 读取任意文件。
7. Codex：完全没有上述限制，本地页面可以直接读取任意文件。
8. 披露时间线：Claude Desktop 缺陷 7 月 23 日披露给 Anthropic，厂商以工作区信任边界为由驳回为无效，随后 Noma Security 报告同一缺陷，Anthropic 接受为有效；Codex 缺陷 7 月 27 日披露给 OpenAI，未获回复，OpenAI 发言人向 The Register 表示已知晓并正在处理；VS Code 缺陷 9 月 10 日披露给微软，厂商同样以工作区信任边界为由驳回。
9. 修复状态：报告发布时，Cursor 与 Copilot 已修复，Codex 与 VS Code 未修复；除 OpenAI 发言人就 Codex 缺陷向 The Register 表态外，其余厂商未回应置评请求，Claude Desktop 的修复进展在报道中未说明。