Las frágiles fronteras de los navegadores integrados en los asistentes de IA

El 29 de octubre de 2026, la empresa Forever Security publicó el estudio 'EMBRACE', firmado por el investigador Gal Weizman, sobre las vulnerabilidades de los navegadores integrados en cinco asistentes de inteligencia artificial para el desarrollo: Cursor, GitHub Copilot, OpenAI Codex, Microsoft VS Code y Anthropic Claude Desktop. Para que los agentes puedan leer las pestañas y mostrar vistas previas de los proyectos, las empresas han relajado los mecanismos tradicionales de aislamiento de la web. Como señala Weizman en el informe técnico, "A normal browser treats every page as hostile". Según Forever, en cada herramienta analizada desaparece alguna de las reglas que un navegador normal siempre aplica: una página local file:// no puede leer otros archivos, una página no puede comunicarse con la aplicación que la aloja y una página no puede elegir la dirección que se muestra.

Los fallos descritos se agrupan en tres ámbitos. En Cursor, una página visitada podía introducir un comando en el compositor del agente mediante window.cursorBrowser.send(...); el comando se ejecutaba tras una aprobación de una sola tecla y, en la demostración, abría la Calculadora. Según Help Net Security, cuando el sandbox bloqueaba el comando, el agente lo desactivaba y volvía a intentarlo sin que nadie se lo pidiera. Forever califica el resultado de probabilístico y dependiente del modelo. Según la investigación, Cursor corrigió el fallo en silencio el 1 de octubre, sin responder a los investigadores. En Claude Desktop y VS Code, el estudio describe un Web Worker que eludía la restricción a la carpeta del proyecto; en Codex, según Forever, esa restricción no existía. En la máquina de pruebas, aprovechando los archivos .DS_Store de macOS, la demostración recopiló claves SSH, archivos .env, tokens de npm y el archivo hosts, y los envió al exterior con un solo clic en un enlace HTML dentro del proyecto. En este mismo terreno, Noma Labs dio a conocer el 14 de octubre la vulnerabilidad 'SneakPeek' en Claude Desktop (con una puntuación CVSS de 8,7), corregida, según Noma, el 17 de agosto con Claude Desktop 1.30096.1, aunque no está claro si ese parche resuelve también la variante detectada por Forever. En GitHub Copilot, en cambio, el fabricante corrigió por su cuenta el fallo de falsificación de contexto el 13 de octubre con la versión 1.1.29.

La respuesta de las empresas revela una divergencia de fondo sobre dónde está el perímetro de seguridad. Microsoft y Anthropic rechazaron los informes de Forever remitiéndose a la frontera de seguridad Workspace Trust; OpenAI no respondió al aviso enviado el 27 de julio. "Anyone using either tool is still exposed", afirma Weizman sobre Codex y VS Code. A 29 de octubre no constan CVE asignados a estos fallos ni explotaciones reales en circulación. Todos los detalles técnicos y la cronología proceden de Forever, parte interesada; en las fuentes consultadas los fabricantes no han publicado comentarios.

Cuando la integración fluida exige desmontar las garantías históricas del navegador, la seguridad acaba dependiendo solo de la disciplina del usuario. Pero convertir una frontera técnica en un simple botón significa dejar el aislamiento al azar, confiando en que nadie pulse nunca la tecla equivocada.

— Olya