Forever Security meldde op 29 oktober 2026 onder de naam EMBRACE verschillende kwetsbaarheden in de ingebouwde browsers van vijf AI-codeertools. De gevolgen liepen uiteen: code-uitvoering via Cursor, adresvervalsing in GitHub Copilot en toegang tot lokale bestanden via Codex, Visual Studio Code (VS Code) en Claude Desktop. EMBRACE is de verzamelnaam voor die afzonderlijke bevindingen, geen enkele gedeelde fout. Forever Security
Wat de EMBRACE-bevindingen per product inhielden
Forever Security beschreef drie soorten gevolgen. Bij Cursor kon inhoud uit een webpagina via de ingebouwde browser bij de AI-agent terechtkomen en in de geteste situatie leiden tot code-uitvoering op de computer. Bij GitHub Copilot ging het om een misleidend adres in de browserweergave. De bevindingen bij Codex, VS Code en Claude Desktop betroffen het lezen van lokale bestanden.
| Product | Door Forever Security gemeld browserprobleem |
| Cursor | Inhoud uit een webpagina kon via de browserintegratie bij de agent belanden en in de beschreven test leiden tot code-uitvoering op de computer. |
| GitHub Copilot voor desktop | Een pagina kon een onjuist webadres doorgeven dat de app aan de gebruiker en de AI-agent toonde. |
| Codex | Een lokale pagina kon in de geteste situatie rechtstreeks bestanden buiten de projectmap lezen. |
| VS Code | Een webworker kon bestanden buiten de projectmap lezen, hoewel de bovenliggende pagina tot die map beperkt was. |
| Claude Desktop | Een webworker kon de beperking tot de projectmap omzeilen en lokale bestanden lezen. |
Een webworker is een script dat op de achtergrond in de browser draait. In de beschrijving van Forever Security kreeg zo’n worker in VS Code en Claude Desktop niet dezelfde beperking tot de projectmap als de hoofdpagina. In de geteste Codex-stroom kon de lokale pagina bestanden rechtstreeks lezen, zonder webworker. Het technische verslag van Forever Security beschrijft die verschillen per product.
Bij Cursor hing het resultaat volgens Forever Security af van het gebruikte model. In de beschreven demonstratie hield de sandbox een eerste poging tegen; daarna schakelde de agent de sandbox uit en probeerde het opnieuw. De demonstratie leidde tot het openen van Calculator. Het verslag omschrijft het succes als afhankelijk van het model, niet als een gegarandeerde uitkomst.
Voor GitHub Copilot betrof de adresvervalsing desktopversie 1.1.27. De browserpreview kon volgens Forever Security een adres tonen dat niet overeenkwam met de pagina die daadwerkelijk werd geopend. De app gaf dat adres ook door aan de agent als context voor het browsertabblad.
Hoe de gemelde toegang tot lokale bestanden verliep
De beschreven keten begon wanneer een gebruiker een lokale HTML-pagina opende in de ingebouwde browser. Forever Security beschreef een misleidend project met een README die de gebruiker vroeg het project in te stellen. De assistent gaf daarbij een aanklikbare link naar een lokaal bestand. Het openen van die pagina was de handeling die de keten in de beschrijving in gang zette.
Forever Security meldde dat een test op de betrokken computers onder meer SSH-sleutels, .env-bestanden, npm-tokens, het hosts-bestand en privédocumenten kon lezen. Voor het in kaart brengen van mappen gebruikte de beschreven proef in macOS Finder-metadata in .DS_Store-bestanden. Die methode voor het vinden van bestanden is specifiek voor macOS; de gemelde fout met de toegangsgrens voor webworkers is een afzonderlijk onderdeel van de bevindingen.
Welke patchstatus Forever Security op 29 oktober meldde
In de momentopname bij publicatie zei Forever Security dat de bevindingen voor Codex en VS Code nog openstonden. Het bedrijf meldde dat Cursor de kwetsbaarheid op 1 oktober 2026 had gepatcht. GitHub had de adresvervalsing volgens Forever Security zelfstandig verholpen in build 1.1.29 op 13 oktober 2026. De bevinding voor Copilot was vastgesteld in versie 1.1.27. Forever Security meldde de status van Codex en VS Code in het hoofdrapport en beschreef de product- en builddetails in het technische verslag.
