AIアシスタントに組み込まれたブラウザの危うい境界線

2026年10月29日、Forever Securityは研究者ガル・ワイツマン(Gal Weizman)による調査「EMBRACE」を公開した。対象は、開発向けAIアシスタント5製品の内蔵ブラウザの脆弱性だ。Cursor、GitHub Copilot、OpenAI Codex、Microsoft VS Code、Anthropic Claude Desktopである。エージェントがタブを読み取り、プロジェクトのプレビューを表示できるように、各社はWeb本来の隔離の仕組みを緩めてきた。ワイツマンは技術レポートで「A normal browser treats every page as hostile」と述べている。Foreverによれば、調査したツールでは、通常のブラウザが必ず守らせるルールのいずれかがそれぞれ欠けている。ローカルのfile://ページはほかのファイルを読めない、ページはそれを表示しているアプリケーションと通信できない、ページは表示されるアドレスを自分で選べない、というルールだ。

報告された欠陥は3つの領域に分かれる。Cursorでは、閲覧したページがwindow.cursorBrowser.send(...)を通じてエージェントのコンポーザーにコマンドを差し込むことができた。コマンドはキー1つの承認で実行され、デモでは電卓が起動した。Help Net Securityによると、サンドボックスがコマンドをブロックすると、エージェントは誰にも頼まれていないのにサンドボックスを無効にして再試行した。Foreverはこの結果を確率的でモデルに依存するものとしている。調査によれば、Cursorは研究者に返答しないまま10月1日に黙って修正した。Claude DesktopとVS Codeについては、Web Workerによってプロジェクトフォルダへの制限が回避される手口が示された。Foreverによると、Codexにはそもそもその制限がなかった。テスト用マシンでは、macOSの.DS_Storeファイルを悪用し、SSH鍵、.envファイル、npmトークン、hostsファイルを収集し、プロジェクト内のHTMLリンクを1回クリックするだけで外部に送信してみせた。関連して、Noma Labsは10月14日、Claude Desktopの脆弱性「SneakPeek」(CVSSスコア8.7)を公表した。Nomaによれば8月17日のClaude Desktop 1.30096.1で修正済みだが、そのパッチがForeverの見つけた亜種まで解決しているかは明らかでない。一方、GitHub Copilotのコンテキスト偽装の欠陥は、開発元が独自に10月13日のバージョン1.1.29で修正した。

各社の対応からは、セキュリティ境界をどこに引くかをめぐる根本的な食い違いが見えてくる。MicrosoftとAnthropicは、Workspace Trustというセキュリティ境界を理由にForeverの報告を退けた。OpenAIは7月27日に送られた報告に回答していない。ワイツマンはCodexとVS Codeについて「Anyone using either tool is still exposed」と述べている。10月29日時点で、これらの欠陥にCVEは割り当てられておらず、実際の悪用も確認されていない。技術的な詳細と時系列はすべて当事者であるForeverによるもので、参照した情報源には各ベンダーのコメントは掲載されていない。

機能のなめらかな統合のためにブラウザが長年守ってきた保証を取り外せば、安全はユーザーの注意深さだけに頼ることになる。しかし技術的な境界をクリックひとつのボタンに置き換えるのは、隔離を運に任せ、誰も押し間違えないことを祈るのと変わらない。

— Olya