安全研究团队Forever Security发现，Cursor、GitHub Copilot、OpenAI Codex、微软VS Code及Anthropic Claude Desktop五款主流AI编程助手的内置浏览器存在严重安全缺陷。攻击者可利用这些漏洞，通过网页或本地文件直接访问用户计算机，导致SSH密钥、云凭证及开发令牌等敏感数据泄露。
EMBRACE模式击穿浏览器安全防线
传统独立浏览器遵循“页面即敌对”原则，禁止页面运行命令、跨文件读取及控制地址栏。然而，为实现AI预览本地项目等功能，上述五款产品放宽了嵌入式浏览器限制。Forever Security指出，这种被称为“EMBRACE”（像信任真实浏览器一样信任嵌入式浏览器）的模式破坏了核心安全规则，导致至少一项防护机制失效。
一次点击即可全盘数据泄露
在文件读取攻击场景中，攻击者伪装工程文件，诱导开发者点击看似无害的链接。尽管Claude Desktop和VS Code限制本地页面仅访问项目文件夹，但其启动的Web Worker（后台脚本）不受此限，可读取机器任意文件；Codex甚至缺乏文件夹检查机制。攻击程序通过扫描macOS隐藏索引文件映射磁盘结构，进而窃取.env文件、npm令牌及hosts文件等关键信息。
在Cursor中，攻击者可通过隐藏命令诱导智能体自行关闭沙箱并执行恶意代码，如打开计算器或启动其他程序。GitHub Copilot则存在地址栏伪造漏洞，攻击者可制造虚假登录界面，且智能体标签页列表会复现该虚假信息。
修复进展与厂商回应
截至目前，各厂商修复进度不一：
- Cursor：于10月1日修复漏洞，距离9月10日披露已过三周，期间未回复研究人员。
- GitHub Copilot：于10月13日在1.1.29版本中修复漏洞，时间早于Forever正式提交报告。
- Codex与VS Code：截至10月29日尚未发布补丁。开发者若打开被篡改项目并点击链接，仍面临极高泄露风险。
在责任认定上，Anthropic以“工作区信任”机制为由，于7月23日拒绝Forever的报告，却接受了Noma Security次日提交的同类报告；OpenAI自7月27日收到报告后至今未予回复。Forever研究员Gal Weizman指出，“工作区信任”提示在实际操作中提供的保护为零，因为用户为使用工具通常会被迫点击信任。
紧急缓解建议
鉴于Codex和VS Code漏洞仍未修复，Weizman建议运行这两款工具的团队立即从配置文件中提取受信任项目列表，并依据技术报告检查其中每个HTML文件是否存在漏洞模式。由于攻击需用户点击助手生成的链接，开发者在处理此类交互时需保持高度警惕。