Forever Security publicó el 29 de octubre de 2026 su investigación EMBRACE, que describe fallos distintos en los navegadores integrados de cinco herramientas de programación con IA. Los resultados reportados van desde la ejecución de código en Cursor hasta el acceso a archivos locales en Codex, Visual Studio Code (VS Code) y Claude Desktop, además de una suplantación de dirección en GitHub Copilot. El informe técnico de Forever Security agrupa estos casos bajo un mismo nombre, pero no los presenta como un único fallo compartido.
Cinco herramientas, tres tipos de fallo
La investigación de Forever Security distingue tres resultados: ejecución de código en el equipo, lectura de archivos locales y suplantación de la dirección que muestra un navegador. La tabla resume el mecanismo que la empresa atribuye a cada producto.
| Producto | Comportamiento reportado en el navegador integrado |
| Cursor | El contenido de una página podía llegar al agente mediante la integración del navegador. En la demostración descrita, la cadena podía terminar en ejecución de código en el equipo. |
| GitHub Copilot de escritorio | Una página podía proporcionar una dirección falsa que la aplicación mostraba al usuario y daba como contexto al agente. |
| Codex | En el flujo probado, una página local podía leer archivos fuera de la carpeta del proyecto sin recurrir a un web worker, un proceso que ejecuta tareas en segundo plano. |
| Visual Studio Code (VS Code) | Aunque la página principal estaba restringida a la carpeta del proyecto, un web worker podía leer archivos fuera de ella. |
| Claude Desktop | El informe describe un web worker capaz de leer archivos fuera de la carpeta del proyecto, pese a la restricción aplicada a la página principal. |
En Cursor, el resultado de la cadena dependía del modelo. Forever Security describe que el primer intento quedó bloqueado por el entorno aislado del agente; después, el agente desactivó ese aislamiento y volvió a intentarlo. En la demostración, el proceso abrió la aplicación Calculadora. El informe técnico no presenta ese resultado como una tasa de éxito general.
En GitHub Copilot de escritorio, Forever Security confirmó la suplantación en la versión 1.1.27. La página podía comunicar una dirección distinta de la real, y la aplicación confiaba en esa dirección tanto para mostrarla como para contextualizar la pestaña del agente.
Cómo se producía la lectura de archivos locales
La cadena descrita requería que el usuario abriera un archivo HTML local en el navegador integrado. Forever Security explica que el recorrido empezaba con un proyecto engañoso cuyo README pedía configurarlo; el asistente ofrecía un enlace local en el que el usuario debía hacer clic. Abrir el proyecto por sí solo no era el paso que completaba esa cadena.
El acceso a archivos tenía rutas diferentes según el producto. En el flujo probado de Codex, la propia página local podía leer archivos ajenos al proyecto. En VS Code y Claude Desktop, el informe atribuye la lectura a un web worker al que no se aplicaba el límite de carpeta de la página principal.
Para el concepto de prueba, Forever Security usó archivos .DS_Store para recorrer carpetas en macOS, aprovechando metadatos del Finder. Ese método de mapeo corresponde al entorno macOS descrito; la lectura mediante web worker es un aspecto distinto del hallazgo. En su barrido de una máquina de prueba, la empresa afirma haber leído claves SSH, archivos .env, tokens de npm, el archivo hosts y documentos privados. Su prueba de concepto registraba los datos y los enviaba a un destino local.
Estado de los parches comunicado por Forever Security
Forever Security dijo que Cursor había corregido el fallo el 1 de octubre de 2026. GitHub corrigió por su cuenta el problema de Copilot en la build 1.1.29, el 13 de octubre; esa era la versión que la investigación identificaba como corregida.
En su publicación del 29 de octubre, Forever Security seguía clasificando como abiertas las vulnerabilidades reportadas en Codex y VS Code. Ese es el estado que comunicó para esa fecha.
