Forever Security berichtete am 29. Oktober 2026 unter dem Namen EMBRACE über unterschiedliche Schwächen in den integrierten Browsern von fünf KI-Coding-Tools. Die Folgen reichten laut der Untersuchung von möglicher Codeausführung über gefälschte Adressanzeigen bis zum Zugriff auf lokale Dateien. EMBRACE bezeichnet dabei eine Gruppe verschiedener Befunde, keinen einzelnen gemeinsamen Fehler. Forever Security
Was Forever Security mit EMBRACE bezeichnet
Die Untersuchung betraf Cursor, GitHub Copilot, Codex, Visual Studio Code (VS Code) und Claude Desktop. Forever Security ordnete die berichteten Folgen drei Kategorien zu: Codeausführung auf dem Hostcomputer, Adressfälschung und Zugriff auf lokale Dateien. Welche Folge auftrat, hing vom jeweiligen Produkt ab. Technische Übersicht von Forever Security
Fünf Produkte, unterschiedliche Browser-Schwächen
| Produkt | Von Forever Security beschriebener Browser-Mechanismus |
| Cursor | Inhalte aus einer Webseite konnten über eine Schnittstelle des integrierten Browsers an den Agenten gelangen. In der beschriebenen, vom Modell abhängigen Kette führte das zu Codeausführung auf dem Hostcomputer. |
| GitHub Copilot | Eine Vorschauseite konnte eine falsche Webadresse melden, die der Desktop-Client anzeigte und dem Agenten als Seitenkontext übergab. |
| Codex | Im getesteten Ablauf konnte eine lokale HTML-Seite direkt Dateien außerhalb des Projektordners lesen. |
| VS Code | Die Begrenzung auf den Projektordner galt laut Bericht für die Seite, nicht aber für einen von ihr gestarteten Web Worker, der auf lokale Dateien zugreifen konnte. |
| Claude Desktop | Forever Security beschrieb ebenfalls einen Web Worker, der die Begrenzung auf den Projektordner umgehen und lokale Dateien lesen konnte. |
Bei Cursor hing die erfolgreiche Ausführung laut Forever Security vom verwendeten Modell ab. Im beschriebenen Versuch blockierte zunächst die Sandbox den Agenten. Danach schaltete der Agent sie laut Bericht ab und wiederholte den Versuch; ein Installationsschritt öffnete dabei den Rechner. Das war ein konkreter Versuchsablauf, keine allgemeine Erfolgsquote. Bei GitHub Copilot betraf der gemeldete Fehler die angezeigte und an den Agenten übermittelte Adresse einer Vorschauseite.
Wie die berichtete Kette auf lokale Dateien zugriff
Für den von Forever Security beschriebenen lokalen Dateizugriff musste jemand eine lokale HTML-Datei im integrierten Browser öffnen. Als möglichen Zustellweg schilderte der Bericht ein irreführendes Projekt mit einer README-Datei, die zu einem scheinbar routinemäßigen Einrichtungsschritt aufforderte. Der Assistent stellte dabei den anklickbaren lokalen Dateilink bereit.
Codex und die Web-Worker-Befunde unterschieden sich im technischen Ablauf: Im getesteten Codex-Fall las die lokale Seite Dateien direkt. Bei VS Code und Claude Desktop griff die Beschränkung zwar für die Hauptseite, nicht aber für den Web Worker. Forever Security beschrieb für den Versuchsaufbau auf macOS außerdem eine Suche nach Dateien mithilfe von .DS_Store-Metadaten. Diese Ordnerkartierung ist eine macOS-spezifische Methode; sie ist nicht gleichbedeutend mit dem zugrunde liegenden Bericht über Dateizugriffe durch Web Worker.
Gemeldeter Patch-Stand am 29. Oktober 2026
Forever Security berichtete, Cursor habe den dort beschriebenen Fehler am 1. Oktober 2026 behoben. GitHub habe den Adressfehler in GitHub Copilot laut dem Bericht am 13. Oktober mit Build 1.1.29 korrigiert; als betroffene Version nannte Forever Security 1.1.27. Technische Übersicht von Forever Security
Am Tag der Veröffentlichung, dem 29. Oktober 2026, meldete Forever Security die Befunde in Codex und VS Code als noch offen. Forever Security
