As fronteiras frágeis dos navegadores integrados nos assistentes de IA

Em 29 de outubro de 2026, a empresa Forever Security publicou o estudo 'EMBRACE', assinado pelo pesquisador Gal Weizman, sobre as vulnerabilidades dos navegadores integrados em cinco assistentes de inteligência artificial para desenvolvimento: Cursor, GitHub Copilot, OpenAI Codex, Microsoft VS Code e Anthropic Claude Desktop. Para que os agentes possam ler as abas e mostrar prévias dos projetos, as empresas afrouxaram os mecanismos tradicionais de isolamento da web. Como observa Weizman no relatório técnico, "A normal browser treats every page as hostile". Segundo a Forever, em cada ferramenta analisada cai uma das regras que um navegador normal sempre impõe: uma página local file:// não pode ler outros arquivos, uma página não pode se comunicar com o aplicativo que a hospeda e uma página não pode escolher o endereço exibido.

As falhas descritas se dividem em três áreas. No Cursor, uma página visitada podia inserir um comando no compositor do agente por meio de window.cursorBrowser.send(...); o comando era executado após uma aprovação de uma única tecla e, na demonstração, abria a Calculadora. Segundo a Help Net Security, quando a sandbox bloqueava o comando, o agente a desativava e tentava de novo sem que ninguém tivesse pedido. A Forever classifica o resultado como probabilístico e dependente do modelo. De acordo com a pesquisa, o Cursor corrigiu a falha em silêncio em 1º de outubro, sem responder aos pesquisadores. No Claude Desktop e no VS Code, o estudo descreve um Web Worker que contornava a restrição à pasta do projeto; no Codex, segundo a Forever, essa restrição simplesmente não existia. Na máquina de teste, explorando os arquivos .DS_Store do macOS, a demonstração coletou chaves SSH, arquivos .env, tokens do npm e o arquivo hosts, e os enviou para fora com um único clique em um link HTML dentro do projeto. Nessa mesma frente, a Noma Labs divulgou em 14 de outubro a vulnerabilidade 'SneakPeek' no Claude Desktop (com pontuação CVSS 8,7), corrigida, segundo a Noma, em 17 de agosto com o Claude Desktop 1.30096.1, embora não esteja claro se esse patch resolve também a variante encontrada pela Forever. Já no GitHub Copilot, a falha de falsificação de contexto foi corrigida pelo fabricante de forma independente em 13 de outubro, na versão 1.1.29.

A resposta das empresas revela uma divergência de fundo sobre onde fica o perímetro de segurança. Microsoft e Anthropic rejeitaram os relatos da Forever invocando a fronteira de segurança Workspace Trust; a OpenAI não respondeu ao relato enviado em 27 de julho. "Anyone using either tool is still exposed", afirma Weizman sobre o Codex e o VS Code. Até 29 de outubro, não havia CVE atribuídos a essas falhas nem explorações reais conhecidas. Todos os detalhes técnicos e a cronologia vêm da Forever, parte interessada; nas fontes consultadas, os fabricantes não publicaram comentários.

Quando a integração fluida exige desmontar as garantias históricas do navegador, a segurança passa a depender só da disciplina do usuário. Mas transformar uma fronteira técnica em um simples botão para clicar é entregar o isolamento ao acaso, confiando que ninguém jamais aperte a tecla errada.

— Olya