29 października 2026 r. Forever Security opisała pod nazwą EMBRACE różne problemy w przeglądarkach wbudowanych w pięć narzędzi AI do kodowania: Cursor, GitHub Copilot, Codex, Visual Studio Code (VS Code) i Claude Desktop. Zgłoszone skutki obejmowały wykonanie kodu na komputerze, fałszowanie adresu strony oraz dostęp do lokalnych plików. EMBRACE to wspólna nazwa dla odrębnych ustaleń, a nie jedna luka obecna we wszystkich pięciu produktach. Raport główny i omówienie techniczne Forever Security przypisują te ustalenia badaczowi Galowi Weizmanowi.
Pięć narzędzi, różne problemy przeglądarek
Forever Security opisała trzy rodzaje skutków. W Cursorze chodziło o wykonanie kodu na komputerze, w GitHub Copilot o podrobienie adresu widocznego w aplikacji, a w Codex, VS Code i Claude Desktop o odczyt lokalnych plików.
| Produkt | Zgłoszone działanie przeglądarki |
| Cursor | Treść strony w przeglądarce wbudowanej mogła trafić do pola agenta. W opisanym przez Forever Security łańcuchu agent wykonał kod poza własnym piaskownicowym środowiskiem; powodzenie zależało od modelu. |
| GitHub Copilot | Podgląd strony mógł podać aplikacji fałszywy adres, który widział użytkownik i który trafiał do kontekstu agenta. |
| Codex | W testowanym przebiegu lokalna strona mogła bezpośrednio odczytać pliki spoza folderu projektu. |
| Visual Studio Code (VS Code) | Ograniczenie odczytu do folderu projektu obejmowało stronę główną, ale nie jej web workera, czyli skrypt działający w tle. |
| Claude Desktop | Zgłoszono podobny problem z web workerem: ograniczenie folderu projektu nie obejmowało skryptu działającego w tle. |
Raport techniczny opisuje mechanizmy odrębnie dla każdego produktu. W przypadku Cursor treść strony trafiała do agenta przez połączenie przeglądarki z aplikacją. W demonstracji agenta pierwsza próba została zatrzymana przez piaskownicę, a kolejna doprowadziła do uruchomienia kodu; Forever Security zaznaczyła, że wynik zależał od użytego modelu. Nie jest to opis jednego zachowania wspólnego dla wszystkich asystentów.
W GitHub Copilot problem dotyczył informacji o adresie strony. Według Forever Security wersja desktopowa 1.1.27 mogła wyświetlić adres podany przez stronę, zamiast sprawdzić jej rzeczywisty adres. Aplikacja przekazywała następnie tę informację agentowi.
Jak wyglądał zgłoszony łańcuch dostępu do plików
Opisany łańcuch wymagał, by użytkownik otworzył lokalną stronę HTML w przeglądarce wbudowanej w narzędzie. Według Forever Security droga do tego kliknięcia zaczynała się od zwodniczego projektu i pliku README, który przedstawiał otwarcie strony jako część konfiguracji. Samo otwarcie projektu nie uruchamiało opisanego dostępu do plików. Raport techniczny wskazuje, że w przypadku Codex lokalna strona mogła odczytywać pliki bezpośrednio. W VS Code i Claude Desktop odczyt poza folderem projektu miał wykonywać web worker.
W opisanym teście Forever Security wykorzystała na macOS metadane .DS_Store do mapowania folderów. To metoda mapowania powiązana z metadanymi Findera, odrębna od samego problemu odczytu plików przez web workera. Zespół badawczy podał, że w teście odczytał między innymi klucze SSH, pliki .env, tokeny npm, plik hosts i prywatne dokumenty.
Stan poprawek zgłoszony 29 października 2026 r.
Forever Security podała, że Cursor poprawił zgłoszony problem 1 października 2026 r., a GitHub naprawił fałszowanie adresu w GitHub Copilot w wersji 1.1.29, 13 października 2026 r. Raport wskazywał wersję 1.1.27 jako tę, w której potwierdzono problem z adresem.
W publikacji z 29 października 2026 r. Forever Security określiła ustalenia dotyczące Codex i VS Code jako nadal otwarte. To status opisany na dzień publikacji raportu. W tym samym głównym raporcie Claude Desktop nie znalazł się wśród dwóch otwartych ustaleń; omówienie techniczne nie podaje jednak publicznej wersji ani daty poprawki dla tego produktu.
