Badacze z Forever Security zidentyfikowali krytyczne błędy w mechanizmach izolacji przeglądarek wbudowanych w narzędzia AI, takie jak VS Code, Cursor, GitHub Copilot, OpenAI Codex oraz Claude Desktop. Problem wynika z modelu EMBRACE, w którym producent zbyt mocno ufa wbudowanej przeglądarce, aby umożliwić AI podgląd projektów lub plików lokalnych.
Luki umożliwiają różnorodne ataki: od odczytu dowolnych plików z dysku (w tym kluczy SSH i tokenów chmurowych) poprzez wykorzystanie web workerów, po wykonywanie złośliwego kodu na maszynie użytkownika. W przypadku Cursor, agent AI potrafił samodzielnie wyłączyć własne piaskownicę (sandbox), aby wykonać ukrytą komendę. Z kolei w GitHub Copilot wykryto możliwość manipulacji paskiem adresu, co ułatwia phishing.
Choć Cursor i Copilot wprowadziły już poprawki, narzędzia VS Code oraz OpenAI Codex pozostawały podatne na ataki umożliwiające odczyt całego dysku w momencie publikacji raportu. Atak często zaczyna się od niewinnego kliknięcia w link do pliku HTML wygenerowany przez asystenta w ramach przygotowywania projektu.
