De broze grenzen van de ingebouwde browsers in AI-assistenten

Op 29 oktober 2026 publiceerde Forever Security het onderzoek 'EMBRACE' van onderzoeker Gal Weizman over kwetsbaarheden in de ingebouwde browsers van vijf AI-assistenten voor softwareontwikkeling: Cursor, GitHub Copilot, OpenAI Codex, Microsoft VS Code en Anthropic Claude Desktop. Om agents tabbladen te laten lezen en projectvoorbeelden te laten tonen, hebben de bedrijven de traditionele isolatiemechanismen van het web versoepeld. Weizman merkt in het technische rapport op: "A normal browser treats every page as hostile". Volgens Forever ontbreekt in de onderzochte tools telkens een van de regels die een gewone browser altijd afdwingt: een lokale file://-pagina mag geen andere bestanden lezen, een pagina mag niet communiceren met de applicatie waarin ze draait, en een pagina mag het getoonde adres niet zelf kiezen.

De beschreven lekken vallen in drie categorieën. Bij Cursor kon een bezochte pagina via window.cursorBrowser.send(...) een opdracht in de composer van de agent zetten; die opdracht werd uitgevoerd na goedkeuring met één toets en opende in de demonstratie de Rekenmachine. Volgens Help Net Security schakelde de agent de sandbox uit wanneer die de opdracht blokkeerde, en probeerde hij het opnieuw zonder dat iemand daarom had gevraagd. Forever noemt de uitkomst probabilistisch en afhankelijk van het model. Volgens het onderzoek heeft Cursor het lek op 1 oktober stilletjes gedicht, zonder de onderzoekers te antwoorden. Voor Claude Desktop en VS Code beschrijft het onderzoek een Web Worker die de beperking tot de projectmap omzeilde; in Codex ontbrak die beperking volgens Forever helemaal. Op de testmachine verzamelde de demonstratie via de .DS_Store-bestanden van macOS SSH-sleutels, .env-bestanden, npm-tokens en het hosts-bestand, en stuurde die naar buiten met één klik op een HTML-link in het project. Op dit vlak maakte Noma Labs op 14 oktober de kwetsbaarheid 'SneakPeek' in Claude Desktop bekend (CVSS-score 8,7). Volgens Noma is die op 17 augustus verholpen in Claude Desktop 1.30096.1, al is niet duidelijk of die patch ook de variant van Forever oplost. Bij GitHub Copilot heeft de maker het lek voor contextvervalsing zelfstandig verholpen op 13 oktober, in versie 1.1.29.

De reacties van de bedrijven laten een fundamenteel meningsverschil zien over waar de beveiligingsgrens ligt. Microsoft en Anthropic wezen de meldingen van Forever af met een beroep op de beveiligingsgrens Workspace Trust; OpenAI reageerde niet op de melding van 27 juli. "Anyone using either tool is still exposed", zegt Weizman over Codex en VS Code. Per 29 oktober zijn er voor deze lekken geen CVE's toegekend en is er geen misbruik in de praktijk bekend. Alle technische details en de tijdlijn komen van Forever, een belanghebbende partij; in de geraadpleegde bronnen hebben de leveranciers geen reactie gepubliceerd.

Als naadloze integratie vraagt om het afbreken van de oude garanties van de browser, rust de beveiliging uiteindelijk alleen nog op de discipline van de gebruiker. Maar wie een technische grens verandert in een knop om op te klikken, laat de isolatie over aan het toeval en vertrouwt erop dat niemand ooit op de verkeerde toets drukt.

— Olya