人工智能安全初创公司 Forever Security 近日披露，在 Cursor、GitHub Copilot、Anthropic Claude Desktop、Microsoft VS Code 以及 OpenAI Codex 这五款主流 AI 开发工具中发现了多个安全漏洞。这些缺陷主要源于各工具内置浏览器的功能超出了传统浏览器的安全边界，可能导致攻击者在主机上执行代码、窃取文件或伪造浏览器地址栏。
Forever Security 研究员 Gal Weizman 指出，这类漏洞被统称为“Embrace”（EMbedded BRowser）。由于嵌入式浏览器具备更丰富的功能，如作为代理输入源、拥有标签页权威地址或直接接触主机系统，从而破坏了传统的威胁模型。目前，OpenAI 的 Codex 和 Microsoft 的 VS Code 中的相关缺陷仍未得到修复，使用受影响配置的开发人员仍面临安全风险。
Cursor：任意代码执行风险
在常规网页环境中，JavaScript 无法直接与本地应用程序通信以执行命令。然而，Cursor 的集成浏览器允许页面调用代理组件，代理会读取并执行这些指令，但人类用户往往难以察觉。这种机制使得编码代理容易受到提示注入攻击，进而可能允许攻击者在主机上执行恶意命令。
Forever Security 于 9 月 10 日向 Cursor 披露了该漏洞。供应商在 10 月 1 日默默修复了问题，但未发布任何安全公告，也未回应研究人员的披露请求。The Register 向 Cursor 寻求置评时同样未获回复。
GitHub Copilot：地址栏欺骗
正常浏览器操作下，网页内容无法更改地址栏显示。但在 GitHub Copilot 的浏览器预览中，部分页面可在不加载新页面的情况下改变地址，而应用程序未能有效验证这一变化。Weizman 写道，Copilot 仅检查文本是否看似 URL（如以 http、https 或 file 开头），却未核实标签实际指向的目标。
攻击者可利用此缺陷在地址栏显示伪造 URL（例如 github.com/login），同时底层加载钓鱼网站。研究人员于 9 月 26 日在 GitHub Copilot 1.1.27 版本中发现此漏洞。尽管未收到 Forever Security 的报告，GitHub 仍在后续发布的 Copilot 1.1.29 版本中独立修复了该问题。Forever Security 表示曾尝试联系 GitHub 寻求帮助但未获回应。
Claude Desktop、Codex 与 VS Code：任意文件读取
这三款工具的编码助手均存在允许内置浏览器中的本地 HTML 文件越权访问其他文件的问题。
研究发现，Claude Desktop 和 VS Code 虽然限制了本地页面对项目文件的访问，但这些限制不适用于 Web Worker——一种允许 JavaScript 在后台线程运行的浏览器功能。这意味着本地页面可启动 Worker 进程绕过限制，从而访问机器上的任意文件。相比之下，Codex 缺乏此类限制，本地页面可直接读取任何文件而无需借助 Worker。
针对 Anthropic 的 Claude Desktop，Forever Security 团队于 7 月 23 日提交漏洞报告，但被供应商拒绝，理由是涉及“工作空间信任”封闭安全边界的无效性。据称，一天后 Noma Security 也报告了相同漏洞。Anthropic 未回应 The Register 关于 bug 报告处理及时间表的询问。
对于 OpenAI 的 Codex，Forever Security 于 7 月 27 日披露漏洞，至今未获回应，且确认尚未修补。OpenAI 未回应包括是否计划修复在内的多项询问。
针对 Microsoft 的 VS Code，Forever Security 于 9 月 10 日披露漏洞，供应商将其标记为因“工作空间信任门”导致的无效安全问题。研究人员声称该漏洞仍未修复。Microsoft 亦未回应 The Register 的置评请求。
