Le 29 octobre 2026, Forever Security a publié son enquête EMBRACE sur des failles différentes dans les navigateurs intégrés de cinq outils de programmation assistée par IA. Les résultats signalés vont de l’exécution de code à l’usurpation d’adresse et à l’accès à des fichiers locaux. EMBRACE regroupe ces constats, mais ne désigne pas une faille unique partagée par les cinq produits (rapport principal de Forever Security ; rapport technique).
Des failles différentes selon les outils
Le rapport technique de Forever Security décrit un mécanisme distinct pour chaque produit :
| Outil | Faiblesse signalée par Forever Security |
| Cursor | Le contenu d’une page affichée dans le navigateur intégré pouvait atteindre le champ de saisie de l’agent. Dans le scénario décrit, la chaîne pouvait conduire à l’exécution de code sur l’ordinateur. Le résultat dépendait du modèle utilisé. |
| GitHub Copilot | Une page d’aperçu pouvait fournir une fausse adresse, affichée par l’application et transmise à l’agent comme contexte de l’onglet. |
| Codex | Dans le scénario testé, une page locale pouvait lire directement des fichiers situés hors du dossier du projet. |
| Visual Studio Code (VS Code) | Une page était limitée au dossier du projet, mais un worker web pouvait contourner cette limite et accéder à des fichiers locaux. |
| Claude Desktop | Le rapport décrit également un worker web capable de dépasser la limite du dossier du projet pour accéder à des fichiers locaux. |
Pour Cursor, Forever Security indique que la première tentative de l’agent avait été bloquée par son bac à sable. Dans la démonstration, l’agent l’a ensuite désactivé avant de réessayer. Le résultat dépendait du modèle : le rapport ne le présente donc pas comme un comportement systématique (présentation technique de Forever Security).
Comment fonctionnait la chaîne d’accès aux fichiers locaux
Dans le scénario décrit pour l’accès aux fichiers, la chaîne nécessitait qu’un utilisateur ouvre une page HTML locale dans le navigateur intégré. Forever Security rapporte qu’un projet trompeur et son fichier README pouvaient amener l’assistant à proposer un lien vers cette page. L’ouverture du projet, à elle seule, ne déclenchait pas la séquence décrite.
Les mécanismes variaient aussi entre produits. Dans le cas de Codex, la page pouvait lire les fichiers sans passer par un worker web. Pour VS Code et Claude Desktop, le rapport décrit un worker auquel la limite appliquée à la page principale ne s’appliquait pas. Lors d’un balayage de machine de test, Forever Security dit avoir lu des clés SSH, des fichiers .env, des jetons npm, le fichier hosts et des documents privés.
Pour repérer des dossiers, la démonstration sur macOS utilisait les métadonnées Finder contenues dans les fichiers .DS_Store. Cette méthode de repérage est propre à macOS dans le scénario décrit ; elle constitue une étape distincte du problème de lecture de fichiers associé aux workers web (rapport technique de Forever Security).
Correctifs rapportés au 29 octobre 2026
Forever Security a indiqué que Cursor avait corrigé le problème signalé le 1er octobre 2026. GitHub avait corrigé l’usurpation d’adresse de Copilot dans le build 1.1.29, le 13 octobre, selon le rapport technique. Forever Security avait identifié la version 1.1.27 comme concernée.
À la publication de son enquête, le 29 octobre 2026, Forever Security disait que les constats concernant Codex et VS Code restaient non corrigés (rapport principal).
