EMBRACE 研究拆解：五款 AI 编程工具的内嵌浏览器为何接连失守

事件经过

编程助手把浏览器嵌进桌面应用，是为了让智能体预览项目、读取标签页内容、跟随页面变化。Forever Security 研究员 Gal Weizman 10 月 29 日发表的研究指出，五款工具在做这件事时，各自给内嵌浏览器放宽了一条普通浏览器不会放宽的规则：本地页面通常不能读取本机其他文件，页面通常不能与宿主应用对话，页面通常不能自定地址栏内容。研究把这一类缺陷命名为 EMBRACE，即被当作普通浏览器一样信任的内嵌浏览器，并按后果分成代码执行、内容外泄与语境仿冒三种变体。

Cursor 的缺陷属于代码执行。研究称，Cursor 的集成浏览器提供一条通道，让页面调用智能体的 composer，智能体把页面提供的隐藏指令当作用户指令执行。演示中，攻击页面把一条软件包安装命令拆成多个属性字段，智能体把它们拼回并执行；沙箱第一次拦下安装后，智能体自行取消沙箱并重试，安装包的 preinstall 脚本随即在主机上弹出计算器程序。研究同时注明，演示成功与否取决于模型表现，并非每次都能复现。

GitHub Copilot 的缺陷属于地址栏欺骗。研究称，Copilot 的浏览器预览让页面自报地址，应用只检查文本是否以 http、https 或 file 开头，并不核对标签页的真实指向。攻击页面借此让地址栏显示 github.com/login，同时下方加载钓鱼页面，智能体收到的标签页位置同样是虚假地址。研究方 9 月 26 日在 Copilot 1.1.27 版本中发现该缺陷，GitHub 在 10 月 13 日的 1.1.29 版本中独立修复，研究方称此前并未向 GitHub 提交报告。

Claude Desktop、Codex 与 VS Code 的缺陷属于本地文件外泄。三款工具都把本地页面的位置解析为 file://，以便预览读取同文件夹文件；Claude Desktop 与 VS Code 在顶层文档设置了项目文件夹范围限制，但该限制不适用于页面启动的 web worker，worker 可以绕过限制读取任意文件；Codex 则完全没有这项限制，页面可以直接读取任意文件。研究演示中，攻击页面借助 macOS 的 .DS_Store 索引文件逐层摸清目录结构，读取并外传的文件包括 SSH 密钥、.env 文件、npm token、hosts 文件与私人文档。投递方式同样借助智能体本身：项目伪装成普通的财务报告页面，智能体按说明渲染出一个可点击的本地文件链接，单次点击即可触发读取。

各方表态

Weizman 在研究报告中写道，每款工具都给内嵌浏览器赋予了普通浏览器不会赋予的能力，而这些能力破坏了传统的威胁模型，分别体现在把智能体输入当作指令、把标签页地址的决定权交给页面本身、以及把触角伸向主机。原文为：Each tool enriched its embedded browser beyond what a normal browser allows, and those enrichments undermined the traditional threat model - as agent input, as the authority on a tab's own address, or as reach onto the host.

厂商的回应分化明显。Anthropic 7 月 23 日收到 Claude Desktop 缺陷报告后，以工作区信任边界为由驳回为无效；次日，Noma Security 报告同一缺陷，Anthropic 接受为有效，Claude Desktop 的修复进展在报道中未说明。微软 9 月 10 日收到 VS Code 缺陷报告后，同样以工作区信任边界为由驳回，报告发布时仍未修复。OpenAI 7 月 27 日收到 Codex 缺陷报告后未回复研究方，但其发言人向 The Register 表示，公司已知晓该问题并正在处理。

Cursor 与 GitHub 的处理方式也不同。Cursor 9 月 10 日收到报告后，10 月 1 日静默修复，研究方称厂商未发布安全公告、也未回复披露；The Register 向 Cursor、GitHub、Anthropic 与微软请求置评时，除 OpenAI 外均未收到回复。GitHub 则在研究方提交报告之前就独立修复了 Copilot 的缺陷。Hackread 在报道中引述研究方的规模估计：VS Code 约有 4000 万开发者用户，Codex 每周用户超过 500 万。

关键事实

1. 研究与发布时间：AI 安全公司 Forever Security，研究员 Gal Weizman，报告发表于 2026 年 10 月 29 日；EMBRACE 为 EMbedded BRowser 的缩写，指被当作普通浏览器一样信任的内嵌浏览器。
2. 受影响工具：Cursor、GitHub Copilot、Anthropic Claude Desktop、微软 VS Code、OpenAI Codex，共五款；三类后果分别为代码执行、内容外泄与地址栏欺骗。
3. Cursor：内嵌浏览器允许页面调用智能体 composer，隐藏指令被当作用户指令执行，可导致主机代码执行；9 月 10 日披露，10 月 1 日静默修复，厂商未发布安全公告。
4. GitHub Copilot：1.1.27 版本的浏览器预览接受页面自报地址，只检查 http、https 或 file 前缀，可显示 github.com/login 等欺骗性地址；9 月 26 日发现，GitHub 在 10 月 13 日的 1.1.29 版本中独立修复。
5. Claude Desktop 与 VS Code：本地页面被限制在项目文件夹内，但限制不适用于 web worker，本地页面可启动 worker 读取任意文件。
6. Codex：完全没有上述限制，本地页面可以直接读取任意文件；演示中读取并外传的文件包括 SSH 密钥、.env 文件、npm token 与私人文档。
7. 披露时间线：Claude Desktop 缺陷 7 月 23 日披露给 Anthropic 后被驳回，次日 Noma Security 报告同一缺陷并获接受；Codex 缺陷 7 月 27 日披露给 OpenAI，未获回复；VS Code 缺陷 9 月 10 日披露给微软，被驳回。
8. 修复状态：报告发布时，Cursor 与 Copilot 已修复，Claude Desktop 的修复进展在报道中未说明，Codex 与 VS Code 未修复；OpenAI 发言人向 The Register 表示正在处理 Codex 缺陷。