Хрупкие границы браузеров, встроенных в ИИ-ассистентов

29 октября 2026 года компания Forever Security опубликовала исследование 'EMBRACE' исследователя Гала Вайцмана (Gal Weizman) об уязвимостях встроенных браузеров в пяти ИИ-ассистентах для разработки: Cursor, GitHub Copilot, OpenAI Codex, Microsoft VS Code и Anthropic Claude Desktop. Чтобы агенты могли читать вкладки и показывать превью проектов, компании ослабили традиционные механизмы изоляции веба. Как отмечает Вайцман в техническом отчёте, «A normal browser treats every page as hostile». По данным Forever, в каждом из изученных инструментов не соблюдается одно из правил, которые обычный браузер применяет всегда: локальная страница file:// не может читать другие файлы, страница не может общаться с приложением, в котором открыта, и страница не может сама выбирать отображаемый адрес.

Описанные уязвимости делятся на три группы. В Cursor открытая страница могла вставить команду в поле ввода агента через window.cursorBrowser.send(...); команда запускалась после подтверждения одной клавишей и в демонстрации открывала Калькулятор. По данным Help Net Security, когда песочница блокировала команду, агент отключал её и пробовал снова, хотя никто его об этом не просил. Forever называет результат вероятностным и зависящим от модели. Согласно исследованию, Cursor молча исправил уязвимость 1 октября, так и не ответив исследователям. Для Claude Desktop и VS Code исследование описывает Web Worker, обходивший ограничение папкой проекта; в Codex, по данным Forever, такого ограничения не было вовсе. На тестовой машине с помощью файлов .DS_Store в macOS демонстрация собрала SSH-ключи, файлы .env, токены npm и файл hosts и отправила их наружу одним щелчком по HTML-ссылке в проекте. В этой же области Noma Labs 14 октября раскрыла уязвимость 'SneakPeek' в Claude Desktop (оценка CVSS 8,7), которая, по словам Noma, была исправлена 17 августа в Claude Desktop 1.30096.1; при этом неясно, закрывает ли этот патч и вариант, найденный Forever. В GitHub Copilot уязвимость подмены контекста производитель исправил самостоятельно 13 октября в версии 1.1.29.

Ответы компаний обнажают принципиальное расхождение в том, где проходит граница безопасности. Microsoft и Anthropic отклонили сообщения Forever, сославшись на границу безопасности Workspace Trust; OpenAI не ответила на сообщение, отправленное 27 июля. «Anyone using either tool is still exposed», — говорит Вайцман о Codex и VS Code. На 29 октября этим уязвимостям не присвоены CVE, а реальные атаки не зафиксированы. Все технические подробности и хронология исходят от Forever, то есть заинтересованной стороны; в изученных источниках производители комментариев не публиковали.

Когда ради бесшовной интеграции приходится разбирать давние гарантии браузера, безопасность в итоге держится только на дисциплине пользователя. Но превратить техническую границу в кнопку, на которую достаточно нажать, значит доверить изоляцию случаю в надежде, что никто никогда не нажмёт не ту клавишу.

— Olya