事件经过
Forever Security（Gal Weizman）于2026-10-29发布了EMBRACE，证明在所有五个AI编码助手中，恶意网页或本地文件都能通过嵌入式浏览器访问到机器。Cursor允许代理代码执行，Copilot允许地址栏欺骗，Codex/VS Code/Claude Desktop允许单个本地文件读取整个磁盘。Anthropic和Microsoft以Workspace Trust为由拒绝或忽略了报告，但研究者指出这并不能提供真正保护，因为用户只会点击“信任”。
影响分析
AI编码助手嵌入了一个受信任的浏览器来预览项目，但该浏览器是厂商为给代理提供便利而破坏的安全边界。由于这些工具以开发者的完全权限运行，并持有AI提供商和云凭证，一次点击的本地文件读取或命令执行就能让攻击者窃取AI代理所信任的确切机密。五家供应商中有两家未发布修复，因此如今这两个部署最广泛的工具仍处于暴露状态。
攻击途径
一个项目被伪装成良性的文档；开发者点击助手的链接打开一个本地HTML文件。嵌入式浏览器像真实浏览器一样被信任，但文件夹包含检查仅覆盖主页面——一个生成的Web Worker（或在Codex中，完全没有检查）可以逃逸并读取任意文件，通过macOS Finder索引文件对磁盘进行指纹识别，并外传SSH密钥/.env/npm令牌。在Cursor中，精心构造的页面注入一条代理执行的命令（取决于模型），而在Copilot中，地址栏可以被伪造成github.com/login以显示钓鱼表单。
受影响系统
嵌入浏览器存在于Cursor、GitHub Copilot、OpenAI Codex、Microsoft VS Code和Anthropic Claude Desktop中。已修补：Cursor（10月1日）和Copilot 1.1.29（10月13日）。截至2026-10-29未修补：OpenAI Codex和Microsoft VS Code。
缓解措施
Codex和VS Code仍未修补。审计每台机器的受信任项目列表，扫描受信任项目中所有HTML文件以查找漏洞利用模式；限制嵌入浏览器来源并禁用Workspace Trust绕过。对于Copilot和Cursor，请升级到修复版本。