Forever：EMBRACE——五大桌面 AI 助手内嵌浏览器可被「当真浏览器」信任翻车
Forever Security（2026-10-29）披露 EMBRACE：Cursor、GitHub Copilot、Codex、VS Code、Claude Desktop 的内嵌浏览器因「比真浏览器多给权限」出现代码执行、地址栏欺骗或本地文件外泄。发稿时 Codex 与 VS Code 仍未修补；Cursor 约 10 月 1 日已静默修，Copilot 约 1.1.29 已修。
Forever 研究页（Gal Weizman，2026-10-29）称：五款桌面 AI 编码助手都把浏览器嵌进工具并由 Agent 驱动；为预览本地项目、读页内容等「增强」，打破了普通浏览器长期守住的三条假设——网页不能在主机跑命令、本地文件不能读盘上其他文件、页面不能改写地址栏。作者把根因命名为 EMBRACE（EMbedded BRowser, trusted like A real onE）。
产品口径（高层次、不含可复现载荷）：Cursor 侧恶意页可把指令藏进看似无害的界面元素，诱导 Agent 在空项目里一次批准后执行主机命令，且曾出现 Agent 自行关掉沙箱再试；GitHub Copilot 预览里页面可谎报地址，地址栏与 Agent 标签列表同时显示假站（如 github.com）；Codex / Claude Desktop / VS Code 上，打开本地 HTML 可逃出项目目录读盘——Claude/VS Code 对页面本体有项目边界，但对 web worker 未同等生效；Codex 则几乎无此限制。披露时间线：Cursor 约 9 月 10 日被告知、约 10 月 1 日静默修补；Copilot 约 10 月 13 日在 1.1.29 独立修好地址栏欺骗；OpenAI Codex（约 7 月 27 日披露）与 Microsoft VS Code（约 9 月 10 日披露、以 Workspace Trust 为由拒修）在发稿时仍开放。
作者建议安全团队把内嵌浏览器当真实端点面盘点，不要假设「用户总得点一下」就安全——这些案例里那一下往往来自助手自己画的链接或批准卡。本稿只做防御侧概述，不复述利用步骤；完整技术细节见 Forever 技术附录。
