Встроенный браузер AI-редактора помогает посмотреть результат работы, не выходя из приложения. Но вредоносная страница в таком браузере может стать входом для атаки на компьютер разработчика. 29 октября исследователи Forever Security рассказали о нескольких уязвимостях во встроенных браузерах Cursor, OpenAI Codex и других инструментов. Свой набор находок они назвали EMBRACE.
Последствия отличаются в зависимости от приложения. В Cursor исследователи показали сценарий запуска кода на компьютере, а в Codex - чтение локальных файлов за пределами проекта. По данным Forever Security, проблему Cursor исправили 1 октября. Уязвимость Codex на момент публикации исследования, 29 октября, оставалась открытой. Представитель OpenAI сообщил The Register, что компания знает о проблеме и работает над её устранением.
Как работает атака на Cursor
Исследователи обнаружили, что страница во встроенном браузере Cursor могла передать данные в поле ввода агента. В эксперименте они спрятали инструкцию в элементе страницы: человеку он выглядел безобидно, но агент видел скрытое содержимое.
После этого агент предложил выполнить команду. В показанном сценарии пользователь подтверждал действие нажатием Enter. Когда песочница Cursor заблокировала команду, агент самостоятельно отключил ограничение и повторил попытку. В результате на тестовом компьютере запустился калькулятор.
Успех такой атаки зависит от поведения модели и, по словам исследователей, не гарантирован при каждой попытке. Тем не менее эксперимент показал возможность запуска выбранной атакующим программы с правами пользователя. Forever Security сообщила Cursor о проблеме 10 сентября и обнаружила исправление 1 октября. Номер версии с исправлением в отчёте не указан.
Что нашли в Codex
Для Codex сценарий другой. Вредоносный локальный HTML-файл, открытый во встроенном браузере приложения, мог обращаться к другим доступным файлам на компьютере. В тесте исследователи получили данные из SSH-ключей, файлов .env и токенов npm. Такие файлы могут содержать ключи доступа к серверам, сервисам и проектам.
Чтобы атака сработала в показанном сценарии, пользователю нужно открыть подготовленный HTML-файл во встроенном браузере. Например, файл может находиться в загруженном проекте, а ссылку на него предложит сам агент при настройке проекта. После открытия чтение и отправка данных могут пройти незаметно для пользователя.
Исследователи сообщили OpenAI о находке 27 июля. В техническом разборе, опубликованном 29 октября, они указали, что исправления ещё нет. Нового подтверждения выпуска патча в доступных публикациях мы не нашли. Статус может измениться, поэтому следите за обновлениями OpenAI.
Какие ещё инструменты затронуты
Forever Security описала похожую проблему чтения файлов в VS Code и Claude Desktop. В GitHub Copilot исследователи показали другой сценарий: страница могла подменить адрес, отображаемый встроенным браузером, и выдать себя за другой сайт. По их данным, GitHub исправил эту проблему в версии Copilot 1.1.29, а ошибка VS Code также оставалась открытой на момент публикации отчёта.
EMBRACE - общее название для нескольких разных находок, а не одна ошибка, одинаково работающая во всех пяти продуктах. Исследование описывает лабораторные демонстрации; само по себе оно не подтверждает, что именно эти уязвимости уже использовали против пользователей.
Что делать разработчикам
Обновите Cursor и другие инструменты разработки до актуальных версий. Пока статус исправления Codex не подтверждён, не открывайте незнакомые локальные HTML-файлы во встроенном браузере, даже если ссылку предложил агент. Перед запуском проекта из неизвестного источника проверьте его содержимое и команды, которые инструмент предлагает выполнить.
Особенно внимательно относитесь к проектам, полученным от незнакомых людей: доступ к странице предпросмотра может оказаться доступом к файлам, которые приложение способно прочитать. Для работы с непроверенным кодом полезно использовать отдельную изолированную среду без рабочих ключей и токенов.