I confini fragili dei browser integrati negli assistenti di IA

Il 29 ottobre 2026 la società Forever Security ha pubblicato lo studio 'EMBRACE', firmato dal ricercatore Gal Weizman, dedicato alle vulnerabilità dei browser integrati in cinque assistenti di intelligenza artificiale per lo sviluppo: Cursor, GitHub Copilot, OpenAI Codex, Microsoft VS Code e Anthropic Claude Desktop. Per consentire agli agenti di leggere le schede e mostrare le anteprime dei progetti, le aziende hanno allentato i tradizionali meccanismi di isolamento del web. Come osserva Weizman nel report tecnico, "A normal browser treats every page as hostile". Negli strumenti esaminati, secondo Forever, viene meno di volta in volta una delle regole che un browser normale fa sempre rispettare: una pagina locale file:// non può leggere altri file, una pagina non può comunicare con l'applicazione che la ospita, una pagina non può scegliere l'indirizzo mostrato.

Le falle descritte si dividono in tre ambiti. Nel caso di Cursor, una pagina visitata poteva inserire un comando nel compositore dell'agente tramite window.cursorBrowser.send(...); il comando partiva dopo un'approvazione di un solo tasto e nella dimostrazione apriva la Calcolatrice. Secondo Help Net Security, quando la sandbox bloccava il comando, l'agente la disattivava e riprovava senza che nessuno glielo avesse chiesto. Forever definisce l'esito probabilistico e dipendente dal modello. Secondo la ricerca, Cursor ha corretto la falla in silenzio il 1° ottobre, senza rispondere ai ricercatori. Per Claude Desktop e VS Code la ricerca descrive un Web Worker che aggirava il limite alla cartella del progetto; in Codex, secondo Forever, quel limite mancava del tutto. Sulla macchina di test, sfruttando i file .DS_Store di macOS, la dimostrazione ha raccolto chiavi SSH, file .env, token npm e il file hosts, inviandoli all'esterno con un solo clic su un link HTML nel progetto. Su questo fronte, Noma Labs ha reso nota il 14 ottobre la vulnerabilità 'SneakPeek' (valutata con punteggio CVSS 8,7) su Claude Desktop, corretta, secondo Noma, il 17 agosto con Claude Desktop 1.30096.1, sebbene non sia chiaro se quella patch risolva anche la variante rilevata da Forever. Per GitHub Copilot, invece, la falla di falsificazione del contesto è stata corretta dal produttore in modo indipendente il 13 ottobre con la versione 1.1.29.

La risposta delle aziende mette in luce una divergenza strutturale sulla definizione del perimetro di sicurezza. Microsoft e Anthropic hanno respinto le segnalazioni di Forever richiamando il confine di sicurezza Workspace Trust; OpenAI non ha risposto alla segnalazione inviata il 27 luglio. "Anyone using either tool is still exposed", dichiara Weizman a proposito di Codex e VS Code. Al 29 ottobre non risultano CVE assegnati per queste falle né sfruttamenti reali in circolazione. Tutti i dettagli tecnici e la cronologia vengono da Forever, parte interessata; nelle fonti consultate i vendor non hanno pubblicato commenti.

Quando l'integrazione fluida delle funzioni richiede di smontare le garanzie storiche dei browser, la sicurezza finisce per basarsi solo sulla disciplina dell'utente. Ma trasformare un confine tecnico in un semplice pulsante da cliccare significa delegare l'isolamento al caso, confidando che nessuno prema mai il tasto sbagliato.

— Olya