Kruche granice przeglądarek wbudowanych w asystentów AI

29 października 2026 r. firma Forever Security opublikowała badanie 'EMBRACE' autorstwa badacza Gala Weizmana, poświęcone lukom w przeglądarkach wbudowanych w pięć asystentów AI dla programistów: Cursor, GitHub Copilot, OpenAI Codex, Microsoft VS Code i Anthropic Claude Desktop. Aby agenci mogli czytać karty i wyświetlać podglądy projektów, firmy poluzowały tradycyjne mechanizmy izolacji w sieci. Jak zauważa Weizman w raporcie technicznym, "A normal browser treats every page as hostile". Według Forever w każdym z badanych narzędzi brakuje którejś z zasad, których zwykła przeglądarka zawsze pilnuje: lokalna strona file:// nie może czytać innych plików, strona nie może komunikować się z aplikacją, w której działa, a strona nie może sama wybierać wyświetlanego adresu.

Opisane luki dzielą się na trzy obszary. W Cursorze odwiedzona strona mogła wstawić polecenie do okna agenta przez window.cursorBrowser.send(...); polecenie uruchamiało się po zatwierdzeniu jednym klawiszem, a w demonstracji otwierało Kalkulator. Według Help Net Security, gdy piaskownica blokowała polecenie, agent ją wyłączał i próbował ponownie, choć nikt go o to nie prosił. Forever określa wynik jako probabilistyczny i zależny od modelu. Według badania Cursor po cichu usunął lukę 1 października, nie odpowiadając badaczom. W przypadku Claude Desktop i VS Code badanie opisuje Web Workera, który omijał ograniczenie do folderu projektu; w Codex, według Forever, takiego ograniczenia w ogóle nie było. Na maszynie testowej, wykorzystując pliki .DS_Store systemu macOS, demonstracja zebrała klucze SSH, pliki .env, tokeny npm i plik hosts, po czym wysłała je na zewnątrz jednym kliknięciem w link HTML w projekcie. W tym samym obszarze Noma Labs ujawniło 14 października lukę 'SneakPeek' w Claude Desktop (ocenioną na 8,7 w skali CVSS), która według Noma została załatana 17 sierpnia w Claude Desktop 1.30096.1, choć nie wiadomo, czy ta poprawka usuwa też wariant znaleziony przez Forever. Z kolei w GitHub Copilot producent samodzielnie usunął lukę fałszowania kontekstu 13 października w wersji 1.1.29.

Reakcje firm pokazują zasadniczą różnicę zdań co do tego, gdzie przebiega granica bezpieczeństwa. Microsoft i Anthropic odrzuciły zgłoszenia Forever, powołując się na granicę bezpieczeństwa Workspace Trust; OpenAI nie odpowiedziało na zgłoszenie wysłane 27 lipca. "Anyone using either tool is still exposed", mówi Weizman o Codex i VS Code. Na dzień 29 października lukom nie przypisano numerów CVE i nie odnotowano rzeczywistych ataków. Wszystkie szczegóły techniczne i chronologia pochodzą od Forever, strony zainteresowanej; w sprawdzonych źródłach producenci nie opublikowali komentarzy.

Gdy płynna integracja wymaga rozbiórki dawnych gwarancji przeglądarki, bezpieczeństwo zaczyna zależeć wyłącznie od dyscypliny użytkownika. A zamiana technicznej granicy w przycisk do kliknięcia oznacza oddanie izolacji przypadkowi i liczenie na to, że nikt nigdy nie wciśnie złego klawisza.

— Olya