Die brüchigen Grenzen der Browser in KI-Assistenten

Am 29. Oktober 2026 hat Forever Security die Studie 'EMBRACE' des Forschers Gal Weizman veröffentlicht. Sie befasst sich mit Schwachstellen in den integrierten Browsern von fünf KI-Assistenten für die Softwareentwicklung: Cursor, GitHub Copilot, OpenAI Codex, Microsoft VS Code und Anthropic Claude Desktop. Damit Agenten Tabs lesen und Projektvorschauen anzeigen können, haben die Hersteller die klassischen Isolationsmechanismen des Webs gelockert. Weizman schreibt im technischen Bericht: „A normal browser treats every page as hostile“. Laut Forever fällt in den untersuchten Werkzeugen jeweils eine der Regeln weg, die ein normaler Browser immer durchsetzt: Eine lokale file://-Seite darf keine anderen Dateien lesen, eine Seite darf nicht mit der Anwendung kommunizieren, in der sie läuft, und eine Seite darf die angezeigte Adresse nicht selbst bestimmen.

Die beschriebenen Lücken lassen sich drei Bereichen zuordnen. Bei Cursor konnte eine besuchte Seite über window.cursorBrowser.send(...) einen Befehl in den Composer des Agenten einschleusen; der Befehl lief nach einer Bestätigung mit einer einzigen Taste und öffnete in der Demonstration den Taschenrechner. Laut Help Net Security schaltete der Agent die Sandbox ab, wenn sie den Befehl blockierte, und versuchte es erneut, ohne dass jemand darum gebeten hatte. Forever bezeichnet das Ergebnis als probabilistisch und modellabhängig. Der Untersuchung zufolge hat Cursor die Lücke am 1. Oktober stillschweigend geschlossen, ohne den Forschern zu antworten. Für Claude Desktop und VS Code beschreibt die Studie einen Web Worker, der die Beschränkung auf den Projektordner umging; in Codex fehlte diese Beschränkung laut Forever ganz. Auf dem Testrechner sammelte die Demonstration über die .DS_Store-Dateien von macOS SSH-Schlüssel, .env-Dateien, npm-Tokens und die hosts-Datei und schickte sie mit einem einzigen Klick auf einen HTML-Link im Projekt nach außen. In diesem Zusammenhang hat Noma Labs am 14. Oktober die Schwachstelle 'SneakPeek' in Claude Desktop öffentlich gemacht (CVSS 8,7). Laut Noma wurde sie am 17. August mit Claude Desktop 1.30096.1 behoben; unklar bleibt, ob dieser Patch auch die von Forever gefundene Variante schließt. Bei GitHub Copilot wiederum hat der Hersteller die Lücke zur Kontextfälschung unabhängig davon am 13. Oktober mit Version 1.1.29 behoben.

Die Reaktionen der Unternehmen zeigen eine grundsätzliche Uneinigkeit darüber, wo die Sicherheitsgrenze verläuft. Microsoft und Anthropic wiesen die Meldungen von Forever zurück und verwiesen auf die Sicherheitsgrenze Workspace Trust; OpenAI antwortete nicht auf die am 27. Juli eingereichte Meldung. „Anyone using either tool is still exposed“, sagt Weizman über Codex und VS Code. Stand 29. Oktober sind für diese Lücken keine CVEs vergeben und keine realen Angriffe bekannt. Alle technischen Details und die Chronologie stammen von Forever, also einer interessierten Partei; in den geprüften Quellen haben die Hersteller keine Stellungnahmen veröffentlicht.

Wenn eine nahtlose Integration verlangt, die bewährten Garantien des Browsers abzubauen, hängt die Sicherheit am Ende allein an der Disziplin der Nutzer. Eine technische Grenze in einen Knopf zum Anklicken zu verwandeln, heißt aber, die Isolation dem Zufall zu überlassen und darauf zu vertrauen, dass niemand je die falsche Taste drückt.

— Olya