何が起きたか
Forever Security（Gal Weizman）は2026年10月29日にEMBRACEを公開し、5つのAIコーディングアシスタントすべてにおいて、悪意のあるWebページまたはローカルファイルが組み込みブラウザを介してマシンに到達することを実証しました。Cursorではエージェントによるコード実行が可能で、Copilotではアドレスバーの偽装が可能であり、Codex/VS Code/Claude Desktopでは単一のローカルファイルがディスク全体を読み取ることができました。AnthropicとMicrosoftは、Workspace Trustを理由に報告を拒否または無視しましたが、研究者はこれが実際の保護を提供しないと指摘しています。なぜならユーザーは単に「信頼」をクリックするだけだからです。
なぜ重要か
AIコーディングアシスタントは、プロジェクトをプレビューするために信頼されたブラウザを組み込んでいますが、そのブラウザはベンダーがエージェントの利便性のために破ったセキュリティ境界です。これらのツールは開発者の完全な特権で実行され、AIプロバイダーとクラウドの資格情報を保持しているため、ワンクリックのローカルファイル読み取りまたはコマンド実行により、攻撃者はAIエージェントが信頼されているまさにその秘密を盗むことができます。5つのベンダーのうち2つは修正を出していないため、現在、最も広く展開されている2つのツールで暴露が進行中です。
攻撃経路
プロジェクトは良性のドキュメントとして偽装され、開発者はアシスタントのリンクをクリックしてローカルHTMLファイルにアクセスします。組み込みブラウザは実際のブラウザと同様に信頼されますが、フォルダー封じ込めチェックはメインページのみを対象としています — 生成されたWebワーカー（Codexではチェック自体がありません）がそれを回避して任意のファイルを読み取り、macOS Finderインデックスファイルを介してディスクのフィンガープリントを取得し、SSHキー/.env/npmトークンを外部に送信します。Cursorでは、細工されたページがエージェントが実行するコマンドを注入します（モデル依存）。Copilotでは、アドレスバーをgithub.com/loginに偽装してフィッシングフォームを表示できます。
影響を受けるシステム
Cursor、GitHub Copilot、OpenAI Codex、Microsoft VS Code、Anthropic Claude Desktopの組み込みブラウザ。修正済み：Cursor（10月1日）およびCopilot 1.1.29（10月13日）。2026年10月29日時点で未修正：OpenAI CodexおよびMicrosoft VS Code。
緩和策
CodexとVS Codeは未修正のままです。各マシンの信頼済みプロジェクトリストを監査し、信頼済みプロジェクト内のすべてのHTMLファイルをエクスプロイトパターンについてスキャンし、組み込みブラウザのオリジンを制限し、Workspace-Trustバイパスを無効にしてください。CopilotとCursorについては、修正版にアップグレードしてください。