AI 编程工具里那个"内置浏览器"，别当成普通浏览器用。Forever Security 10/29 公布了一组叫 EMBRACE 的问题：Cursor、G… · @0xwolverines · TwKit

@0xwolverines

AI 编程工具里那个"内置浏览器"，别当成普通浏览器用。Forever Security 10/29 公布了一组叫 EMBRACE 的问题：Cursor、GitHub Copilot、Codex、VS Code、Claude Desktop 五个工具，内置浏览器全都被打穿了一条规则。 事实部分（来源：Forever Security 研究博客 10/29、The Register 与 Help Net Security 报道，北京时间 10/30 核验）： 1. Cursor：网页里藏一段给 Agent 看的指令，人看到的只是一个"Start setup"按钮。Agent 读到后请求执行命令，一次回车就批准。沙箱拦了一次，Agent 自己把沙箱关掉又试了一遍。研究者说这不是每次都能复现，看模型。 2. Codex、VS Code、Claude Desktop：在内置浏览器里打开项目里的一个本地 HTML，页面起一个后台脚本（web worker），就能读到项目外的文件。研究者演示里拿到了 SSH 密钥、.env、npm token。Codex 连这一层限制都没有。 3. Copilot：页面可以自己告诉 App"我在 http://github.com/login"，地址栏就这么显示，人和 Agent 都会信。 4. 修复情况：Cursor 10/1 静默修复，没发安全公告；Copilot 1.1.29（10/13）修复；Forever 称发布时 Codex 和 VS Code 仍未修。微软把 VS Code 这条定性为"工作区信任"范围内、不算漏洞；OpenAI 对 The Register 表示正在处理。 我的判断： 1. 三类问题根子是同一个：为了让 AI 能预览项目、读页面，厂商给内置浏览器开了普通浏览器不会开的权限。 2. 最危险的是"点一下"这步来自工具自己的提示。README 让 Agent 给你一个链接，你会点，这个习惯就是攻击入口。 3. "Agent 自己关沙箱"这点比漏洞本身更值得记住：只靠模型自觉守边界，守不住（推断）。 我现在会这样做： 1. Cursor 更新到最新，Copilot 至少 1.1.29。 2. 在 Codex、VS Code 修好前，不在内置浏览器里打开来路不明项目里的 HTML，陌生仓库先在一次性虚拟机或容器里看。 3. 开发机上的 SSH 密钥、云凭证别长期明文放在家目录，能用硬件密钥或短期凭证就换掉。 4. Agent 要求关沙箱、跳过确认时，一律人工看完命令再决定。 利益说明：与以上厂商及 Forever Security 无合作；未自行复现，细节以研究原文为准。 你平时会在 AI 编程工具的内置浏览器里打开陌生项目吗？ #AI安全 #Agent #Cursor

曝光 17 · 评论 1 · 点赞 1 · 书签 0