Крихкі межі браузерів, вбудованих в ШІ-асистентів

29 жовтня 2026 року компанія Forever Security оприлюднила дослідження 'EMBRACE' дослідника Ґала Вайцмана (Gal Weizman) про вразливості вбудованих браузерів у п'яти ШІ-асистентах для розробки: Cursor, GitHub Copilot, OpenAI Codex, Microsoft VS Code та Anthropic Claude Desktop. Щоб агенти могли читати вкладки й показувати попередній перегляд проєктів, компанії послабили традиційні механізми ізоляції вебу. Як зазначає Вайцман у технічному звіті, «A normal browser treats every page as hostile». За даними Forever, у кожному з досліджених інструментів не діє одне з правил, яких звичайний браузер завжди дотримується: локальна сторінка file:// не може читати інші файли, сторінка не може спілкуватися із застосунком, у якому відкрита, і сторінка не може сама обирати адресу, що відображається.

Описані вразливості поділяються на три групи. У Cursor відвідана сторінка могла вставити команду в поле агента через window.cursorBrowser.send(...); команда запускалася після підтвердження однією клавішею і в демонстрації відкривала Калькулятор. За даними Help Net Security, коли пісочниця блокувала команду, агент вимикав її і пробував знову, хоча ніхто його про це не просив. Forever називає результат імовірнісним і залежним від моделі. Згідно з дослідженням, Cursor мовчки виправив вразливість 1 жовтня, так і не відповівши дослідникам. Для Claude Desktop і VS Code дослідження описує Web Worker, який обходив обмеження теки проєкту; у Codex, за даними Forever, такого обмеження не було взагалі. На тестовій машині за допомогою файлів .DS_Store у macOS демонстрація зібрала SSH-ключі, файли .env, токени npm і файл hosts та надіслала їх назовні одним клацанням по HTML-посиланню в проєкті. У цій самій площині Noma Labs 14 жовтня розкрила вразливість 'SneakPeek' у Claude Desktop (оцінка CVSS 8,7), яку, за словами Noma, виправили 17 серпня в Claude Desktop 1.30096.1; утім, незрозуміло, чи закриває цей патч також варіант, знайдений Forever. У GitHub Copilot вразливість підміни контексту виробник виправив самостійно 13 жовтня у версії 1.1.29.

Відповіді компаній показують принципову розбіжність щодо того, де пролягає межа безпеки. Microsoft і Anthropic відхилили повідомлення Forever, пославшись на межу безпеки Workspace Trust; OpenAI не відповіла на повідомлення, надіслане 27 липня. «Anyone using either tool is still exposed», — каже Вайцман про Codex і VS Code. Станом на 29 жовтня цим вразливостям не присвоєно CVE, а реальних атак не зафіксовано. Усі технічні подробиці й хронологія походять від Forever, тобто зацікавленої сторони; у переглянутих джерелах виробники коментарів не оприлюднили.

Коли заради безшовної інтеграції доводиться розбирати давні гарантії браузера, безпека зрештою тримається лише на дисципліні користувача. Але перетворити технічну межу на кнопку, яку досить натиснути, означає довірити ізоляцію випадку й сподіватися, що ніхто ніколи не натисне не ту клавішу.

— Olya