무슨 일이 있었나
Forever Security(Gal Weizman)는 2026-10-29에 EMBRACE를 발표했으며, 5개 AI 코딩 어시스턴트 모두에서 악의적인 웹 페이지나 로컬 파일이 임베디드 브라우저 뒤의 머신에 도달할 수 있음을 시연했습니다. Cursor는 에이전트 코드 실행을 허용했고, Copilot은 주소 표시줄 스푸핑을 허용했으며, Codex/VS Code/Claude Desktop은 단일 로컬 파일로 전체 디스크를 읽을 수 있었습니다. Anthropic과 Microsoft는 Workspace Trust를 근거로 보고를 거부하거나 무시했지만, 연구원은 사용자가 그냥 'Trust'를 클릭하기 때문에 실제 보호 기능을 제공하지 않는다고 지적했습니다.
왜 중요한가
AI 코딩 어시스턴트는 프로젝트 미리보기를 위해 신뢰된 브라우저를 임베드하지만, 그 브라우저는 벤더가 에이전트의 편의를 위해 깨뜨린 보안 경계입니다. 이러한 도구는 개발자의 전체 권한으로 실행되고 AI 제공자 및 클라우드 자격 증명을 보유하므로, 원클릭 로컬 파일 읽기 또는 명령 실행을 통해 공격자는 AI 에이전트가 신뢰받는 정확한 비밀을 탈취할 수 있습니다. 5개 벤더 중 2개는 수정 사항을 출시하지 않아, 가장 널리 배포된 두 도구에서 오늘날 노출이 실제로 존재합니다.
공격 경로
프로젝트가 양성 문서로 위장됩니다; 개발자가 어시스턴트의 로컬 HTML 파일 링크를 클릭합니다. 임베디드 브라우저는 실제 브라우저처럼 신뢰되지만, 폴더 포함 검사는 메인 페이지만 다룹니다 — 생성된 웹 워커(또는 Codex에서는 검사 자체가 없음)가 이를 탈출하여 임의 파일을 읽고, macOS Finder 인덱스 파일을 통해 디스크를 지문 인식하고 SSH 키/.env/npm 토큰을 유출합니다. Cursor에서는 조작된 페이지가 에이전트가 실행하는 명령을 주입하고(모델에 따라 다름), Copilot에서는 주소 표시줄이 피싱 폼 위에 github.com/login으로 스푸핑될 수 있습니다.
영향받는 시스템
Cursor, GitHub Copilot, OpenAI Codex, Microsoft VS Code 및 Anthropic Claude Desktop의 임베디드 브라우저. 패치됨: Cursor(10월 1일) 및 Copilot 1.1.29(10월 13일). 2026-10-29 기준 미패치: OpenAI Codex 및 Microsoft VS Code.
완화 방안
Codex와 VS Code는 여전히 미패치 상태입니다. 각 머신의 신뢰된 프로젝트 목록을 감사하고 신뢰된 프로젝트의 모든 HTML 파일에서 익스플로잇 패턴을 스캔하세요; 임베디드 브라우저 출처를 제한하고 Workspace-Trust 우회를 비활성화하세요. Copilot과 Cursor의 경우 수정된 버전으로 업그레이드하세요.