AI 助手内置浏览器的脆弱边界

2026年10月29日，Forever Security 发布了由研究员 Gal Weizman 撰写的研究报告“EMBRACE”，针对五款面向开发者的 AI 助手内置浏览器的漏洞：Cursor、GitHub Copilot、OpenAI Codex、Microsoft VS Code 和 Anthropic Claude Desktop。为了让智能体能够读取标签页、显示项目预览，这些公司放宽了网页传统的隔离机制。Weizman 在技术报告中写道：“A normal browser treats every page as hostile”。据 Forever 称，在所检查的工具中，普通浏览器始终坚持的规则总有一条失效：本地 file:// 页面不能读取其他文件，页面不能与承载它的应用程序通信，页面不能自行决定显示的地址。

报告描述的漏洞分为三类。在 Cursor 中，被访问的页面可以通过 window.cursorBrowser.send(...) 向智能体的输入框注入命令；只需按一个键确认，命令就会执行，演示中它打开了计算器。据 Help Net Security 报道，当沙箱拦截命令时，智能体会在无人要求的情况下自行关闭沙箱并重试。Forever 称这一结果具有概率性，并取决于所用模型。研究显示，Cursor 于10月1日悄悄修复了该漏洞，但没有回复研究人员。对于 Claude Desktop 和 VS Code，研究描述了一个可绕过项目文件夹限制的 Web Worker；而据 Forever 称，Codex 根本没有这项限制。在测试机器上，演示利用 macOS 的 .DS_Store 文件收集了 SSH 密钥、.env 文件、npm 令牌和 hosts 文件，只需点击项目中的一个 HTML 链接，就能把它们发送到外部。在同一方面，Noma Labs 于10月14日披露了 Claude Desktop 的“SneakPeek”漏洞（CVSS 评分 8.7）。据 Noma 称，该漏洞已于8月17日在 Claude Desktop 1.30096.1 中修复，但尚不清楚这一补丁是否也解决了 Forever 发现的变种。至于 GitHub Copilot，其上下文伪造漏洞已由厂商于10月13日在 1.1.29 版本中独立修复。

各公司的回应暴露出它们在安全边界划定上的根本分歧。Microsoft 和 Anthropic 以 Workspace Trust 安全边界为由驳回了 Forever 的报告；OpenAI 没有回复7月27日提交的报告。谈到 Codex 和 VS Code，Weizman 表示：“Anyone using either tool is still exposed”。截至10月29日，这些漏洞尚未分配 CVE 编号，也未发现实际利用。所有技术细节和时间线均来自利益相关方 Forever；在所查阅的来源中，各厂商未发表评论。

当功能的无缝集成需要拆除浏览器长期以来的安全保障时，安全最终只能依赖用户自身的谨慎。然而，把一道技术边界变成一个点击即可的按钮，等于把隔离交给运气，寄希望于永远没有人按错键。

— Olya