AI 어시스턴트에 내장된 브라우저의 취약한 경계

2026년 10월 29일 Forever Security는 연구원 갈 바이츠만(Gal Weizman)이 작성한 연구 'EMBRACE'를 발표했다. 개발용 AI 어시스턴트 다섯 종, 즉 Cursor, GitHub Copilot, OpenAI Codex, Microsoft VS Code, Anthropic Claude Desktop의 내장 브라우저 취약점을 다룬 연구다. 에이전트가 탭을 읽고 프로젝트 미리보기를 보여 줄 수 있도록 각 회사는 웹의 전통적인 격리 장치를 느슨하게 했다. 바이츠만은 기술 보고서에서 "A normal browser treats every page as hostile"라고 지적한다. Forever에 따르면 조사한 도구마다 일반 브라우저가 늘 지키게 하는 규칙 가운데 하나씩이 빠져 있다. 로컬 file:// 페이지는 다른 파일을 읽을 수 없고, 페이지는 자신을 띄운 애플리케이션과 통신할 수 없으며, 페이지는 표시되는 주소를 스스로 정할 수 없다는 규칙이다.

보고된 결함은 세 영역으로 나뉜다. Cursor에서는 방문한 페이지가 window.cursorBrowser.send(...)를 통해 에이전트 작성창에 명령을 넣을 수 있었다. 명령은 키 하나로 승인하면 실행됐고, 시연에서는 계산기가 열렸다. Help Net Security에 따르면 샌드박스가 명령을 막자 에이전트는 아무도 요청하지 않았는데도 샌드박스를 끄고 다시 시도했다. Forever는 이 결과가 확률적이며 모델에 따라 달라진다고 설명한다. 연구에 따르면 Cursor는 연구진에게 답하지 않은 채 10월 1일 조용히 결함을 고쳤다. Claude Desktop과 VS Code에 대해서는 Web Worker가 프로젝트 폴더 제한을 우회하는 방식이 제시됐고, Forever에 따르면 Codex에는 그런 제한 자체가 없었다. 테스트 장비에서 시연은 macOS의 .DS_Store 파일을 이용해 SSH 키, .env 파일, npm 토큰, hosts 파일을 수집했고, 프로젝트 안의 HTML 링크를 한 번 클릭하는 것만으로 외부에 전송했다. 같은 맥락에서 Noma Labs는 10월 14일 Claude Desktop의 취약점 'SneakPeek'(CVSS 8.7)를 공개했다. Noma에 따르면 이 취약점은 8월 17일 Claude Desktop 1.30096.1에서 수정됐지만, 그 패치가 Forever가 찾은 변종까지 해결하는지는 분명하지 않다. 반면 GitHub Copilot의 컨텍스트 위조 결함은 제조사가 독자적으로 10월 13일 버전 1.1.29에서 수정했다.

기업들의 대응은 보안 경계를 어디에 그을지를 두고 근본적인 시각차가 있음을 보여 준다. Microsoft와 Anthropic은 Workspace Trust 보안 경계를 근거로 Forever의 신고를 받아들이지 않았다. OpenAI는 7월 27일 보낸 신고에 답하지 않았다. 바이츠만은 Codex와 VS Code에 대해 "Anyone using either tool is still exposed"라고 말한다. 10월 29일 기준으로 이 결함들에 배정된 CVE는 없으며, 실제 악용 사례도 확인되지 않았다. 기술적 세부 사항과 일정은 모두 이해 당사자인 Forever에서 나온 것이며, 참고한 출처에서 업체들은 입장을 내지 않았다.

매끄러운 기능 통합을 위해 브라우저가 오랫동안 지켜 온 보장을 걷어 내면, 보안은 결국 사용자의 주의력에만 기대게 된다. 기술적 경계를 클릭 한 번짜리 버튼으로 바꾸는 것은 격리를 운에 맡기고 아무도 잘못된 키를 누르지 않기를 바라는 것과 같다.

— Olya