工具里的浏览器，替外人干活！ 安全公司 Forever Security 29 日公开了 EMBRACE：Cursor、GitHub Copilot、Cod… · @chenYijl · TwKit

@chenYijl

工具里的浏览器，替外人干活！ 安全公司 Forever Security 29 日公开了 EMBRACE：Cursor、GitHub Copilot、Codex、VS Code、Claude Desktop 五款工具的内嵌浏览器，边界都没扎紧。 Cursor 最离谱：恶意网页钻进浏览器和助手之间的桥，往命令框里塞暗指令，助手还自己关了沙箱、重跑一遍，计算器就这么在电脑上弹了出来。 Codex、VS Code 和 Claude Desktop 的毛病是偷文件：本地 HTML 文件能越过项目边界，把 SSH 密钥、令牌、文档读走。 补丁分两档：Cursor、Copilot 修了，Codex、VS Code 到发稿还没补。 你上次在编程工具里打开本地网页，是先查了来路，还是直接点了？

曝光 47 · 评论 3 · 点赞 2 · 书签 0