Les frontières fragiles des navigateurs intégrés aux assistants d'IA

Le 29 octobre 2026, la société Forever Security a publié l'étude 'EMBRACE', signée par le chercheur Gal Weizman, consacrée aux vulnérabilités des navigateurs intégrés à cinq assistants d'intelligence artificielle pour le développement : Cursor, GitHub Copilot, OpenAI Codex, Microsoft VS Code et Anthropic Claude Desktop. Pour permettre aux agents de lire les onglets et d'afficher l'aperçu des projets, les éditeurs ont assoupli les mécanismes d'isolation traditionnels du web. Comme le note Weizman dans le rapport technique : « A normal browser treats every page as hostile ». Selon Forever, chacun des outils examinés renonce à l'une des règles qu'un navigateur normal fait toujours respecter : une page locale file:// ne peut pas lire d'autres fichiers, une page ne peut pas communiquer avec l'application qui l'héberge, une page ne peut pas choisir l'adresse affichée.

Les failles décrites relèvent de trois catégories. Dans Cursor, une page visitée pouvait insérer une commande dans le compositeur de l'agent via window.cursorBrowser.send(...) ; la commande s'exécutait après une validation d'une seule touche et, lors de la démonstration, ouvrait la Calculatrice. D'après Help Net Security, lorsque le bac à sable bloquait la commande, l'agent le désactivait et réessayait sans que personne ne le lui ait demandé. Forever qualifie le résultat de probabiliste et dépendant du modèle. Selon l'étude, Cursor a corrigé la faille en silence le 1er octobre, sans répondre aux chercheurs. Pour Claude Desktop et VS Code, l'étude décrit un Web Worker qui contournait la restriction au dossier du projet ; dans Codex, selon Forever, cette restriction n'existait pas du tout. Sur la machine de test, en exploitant les fichiers .DS_Store de macOS, la démonstration a récupéré des clés SSH, des fichiers .env, des jetons npm et le fichier hosts, puis les a envoyés à l'extérieur d'un seul clic sur un lien HTML du projet. Sur ce même terrain, Noma Labs a rendu publique le 14 octobre la vulnérabilité 'SneakPeek' de Claude Desktop (score CVSS de 8,7), corrigée selon Noma le 17 août avec Claude Desktop 1.30096.1, sans que l'on sache si ce correctif couvre aussi la variante relevée par Forever. Pour GitHub Copilot, en revanche, l'éditeur a corrigé de son côté la faille d'usurpation de contexte le 13 octobre avec la version 1.1.29.

La réponse des entreprises révèle un désaccord de fond sur la définition du périmètre de sécurité. Microsoft et Anthropic ont rejeté les signalements de Forever en invoquant la frontière de sécurité Workspace Trust ; OpenAI n'a pas répondu au signalement envoyé le 27 juillet. « Anyone using either tool is still exposed », déclare Weizman à propos de Codex et de VS Code. Au 29 octobre, aucun CVE n'a été attribué à ces failles et aucune exploitation réelle n'est signalée. Tous les détails techniques et la chronologie proviennent de Forever, partie intéressée ; dans les sources consultées, les éditeurs n'ont publié aucun commentaire.

Quand une intégration fluide impose de démonter les garanties historiques du navigateur, la sécurité finit par ne reposer que sur la discipline de l'utilisateur. Or transformer une frontière technique en simple bouton à cliquer, c'est confier l'isolation au hasard, en espérant que personne n'appuie jamais sur la mauvaise touche.

— Olya