Forever Security／研究：五款 AI 開發助手嵌入式瀏覽器 EMBRACE 漏洞——Cursor 可任意執行；Codex／VS Code 仍未修補

Key takeaway

Forever Security 研究團隊於二零二六年十月二十九日公開技術報告，指 Cursor、GitHub Copilot、OpenAI Codex、微軟 VS Code 與 Anthropic Claude Desktop 五款桌面／內嵌 AI 開發助手，均因「嵌入式瀏覽器」被賦予超出一般瀏覽器的能力而出現安全弱點；影響涵蓋主機代碼執行、任意檔案讀取外洩，以至地址列欺騙。官方稱此類問題為 EMBRACE，並指截至發稿 Codex 與 VS Code 相關問題仍未修補。本文核對自 Forever Security 技術報告與 The Register 報導，來源真實性已驗證。

Forever Security／研究：五款 AI 開發助手嵌入式瀏覽器 EMBRACE 漏洞——Cursor 可任意執行；Codex／VS Code 仍未修補

Forever Security 研究團隊於二零二六年十月二十九日公開技術報告，指 Cursor、GitHub Copilot、OpenAI Codex、微軟 VS Code 與 Anthropic Claude Desktop 五款桌面／內嵌 AI 開發助手，均因「嵌入式瀏覽器」被賦予超出一般瀏覽器的能力而出現安全弱點；影響涵蓋主機代碼執行、任意檔案讀取外洩，以至地址列欺騙。官方稱此類問題為 EMBRACE，並指截至發稿 Codex 與 VS Code 相關問題仍未修補。本文核對自 Forever Security 技術報告與 The Register 報導，來源真實性已驗證。

Forever Security／研究：五款 AI 開發助手嵌入式瀏覽器 EMBRACE 漏洞——Cursor 可任意執行；Codex／VS Code 仍未修補

Forever Security 於二零二六年十月二十九日發布題為「EMBRACE」的技術概述，說明團隊如何針對五款主流 AI 編程助手內建的嵌入式瀏覽器進行研究。報告指五者並非同一漏洞，但共享同一模式：產品為了讓代理讀取頁面、預覽本機檔案或同步分頁位址，放寬了一般瀏覽器對惡意頁面的預設隔離，從而使「代理輸入」「分頁位址權威」或「對主機的觸達」被削弱。The Register 同日跟進報導，並引述 OpenAI 發言人表示已知悉 Codex 問題並正處理。來源真實性已驗證。

一、核心發現：三類 EMBRACE 影響

技術細節

研究團隊將此類問題命名為 EMBRACE（EMbedded BRowser），並劃分為三種形態：

一、任意代碼執行（Cursor）：內建瀏覽器允許頁面內容進入代理可讀取的指令通道，惡意頁面可藉提示注入引導代理在主機執行操作。Forever 指於九月十日向 Cursor 披露，十月一日獲靜默修補，但未見公開資安通告；Cursor 未回覆 The Register 查詢。

二、任意內容外洩（Claude Desktop、Codex、VS Code）：以 file:// 開啟的本機頁面可讀取超出專案範圍的檔案。Claude Desktop 與 VS Code 在頂層文件設有專案範圍限制，但研究指該限制未套用於 Web Worker，從而使外洩成為可能；Codex 則連頂層文件亦未設同等圍欄，本機頁面可直接讀取任意檔案。報告稱概念驗證中可sweep 出 SSH 金鑰、.env、npm token 與私人文件等。

三、任意情境仿冒（GitHub Copilot）：內建預覽允許頁面自行向應用回報位址，應用只檢查字串是否像網址，卻未核對分頁真實位置，可造成地址列顯示仿冒網址（例如登入頁），而實際內容仍為釣魚頁。Forever 於九月二十六日在 Copilot 1.1.27 確認；GitHub 於十月十三日在 1.1.29 獨立修補，研究團隊無需提交報告。

披露時間線方面：Anthropic 於七月二十三日先被 Forever 通報 Claude Desktop 問題時曾以「Workspace Trust」邊界拒收，翌日 Noma Security 通報同類問題後改為接受；OpenAI Codex 於七月二十七日披露後長期未回覆，發稿時仍未修補；微軟 VS Code 於九月十日披露後亦被標為 Workspace Trust 相關而拒修，發稿時仍未修補。The Register 另指 OpenAI 發言人表示已知悉並正處理 Codex 問題。

二、技術原理深度解析

一般瀏覽器預設把每個頁面視為敵對：本機 file:// 頁面不能任意讀其他檔案、頁面不能指揮外層應用、也不能擅自改寫地址列。AI 編程助手為了「預覽專案檔」「讓代理知道你在看哪一頁」「從頁面選取元素回填提示」，往往要在嵌入式瀏覽器上加權。EMBRACE 的核心論點是：每一項「合理產品功能」的加權，都可能同時把昔日瀏覽器拒絕給惡意頁面的能力交出去。

對企業而言，這屬於「代理＋本機 IDE／桌面應用」合流後的新攻擊面：威脅不再只停留在雲端提示注入，而可經由本機預覽、惡意專案檔或仿冒位址，把風險推到開發者工作站上的金鑰、原始碼與令牌。修補進度不一，亦意味同一團隊若混用多個助手，風險敞口並非齊步關閉。

三、日常應用場景

1. 開發者與技術團隊

盡快更新 Cursor、GitHub Copilot 至已修補版本；對仍標示未修補的 Codex／VS Code 嵌入式瀏覽／本機預覽功能，應限制開啟不明 file:// 內容、關閉不必要的自動執行，並避免在高權限工作站上預覽不可信專案。把 SSH 金鑰、雲端憑證與 .env 移出常開工作目錄，降低一旦外洩的爆破半徑。

2. 企業與隱私敏感行業

把「AI 編程助手嵌入式瀏覽器」納入端點與供應鏈風險清單：要求供應商說明披露與修補狀態，並在採購／紅隊劇本中覆蓋本機預覽與代理自動執行路徑。金融、法律、醫療等行業的開發環境尤須假設工作站上存有受規管資料。

3. 一般用戶

個人開發者若使用上述工具預覽網頁或本機 HTML，應視來路不明的專案與頁面為高風險；不要僅憑地址列判斷登入頁真偽，並為重要帳戶啟用硬體金鑰或通行密鑰。

4. 香港與亞洲市場視角

香港企業大量採用 VS Code、Copilot、Cursor 等工具做外包與內部交付。在未全面修補前，宜以網絡分段、端點偵測與最小權限倉庫存取降低外洩影響，並把同類嵌入式瀏覽器風險寫進外判資安條款與私有開發環境基線。

四、專業評價與潛在考量

優勢

Forever 以統一分類點出跨產品模式，有助業界用同一語言討論「助手內嵌瀏覽器」而非逐個 CVE 碎片化應對；Cursor 與 Copilot 已有修補紀錄，顯示部分廠商可在披露後關閉通道。

需要留意的地方

Codex 與 VS Code 於發稿時仍未修補，企業不能假設「用了大廠工具即安全」。部分廠商以 Workspace Trust 拒收通報，反映產品安全邊界定義仍有爭議。報告含概念驗證細節，防禦方應聚焦關閉加權通道與更新版本，而非複製攻擊流程。

結語

EMBRACE 說明：當 AI 編程助手把瀏覽器「 upstream」進代理工作流，傳統網頁隔離假設就會鬆動。對香港企業若要在可控環境落地開發者工具與端點防護，可參考 YSK Limited 的雲端遷移與網絡安全（https://ysk.hk/services/cloud-security）。

參考來源

Related services & products

Related posts