Уязвимость EMBRACE в AI-редакторах: как Codex и VS Code читают чужие файлы

Коротко: EMBRACE — не один баг с номером CVE, а класс уязвимостей встроенных браузеров в AI-редакторах кода. Из пяти проверенных инструментов Cursor получил выполнение кода без жеста пользователя, GitHub Copilot — подделку адресной строки, а Claude Desktop, Codex и VS Code — чтение произвольных файлов с диска через web worker'ы, включая SSH-ключи, .env и токены npm. На 29 октября 2026 Cursor и Copilot уже пропатчены, Codex и VS Code — нет; вендоры отклонили часть отчётов как «не баг».

Что такое EMBRACE и кто его нашёл

EMBRACE расшифровывается как EMbedded BRowser — так исследователь Forever Security Гал Вайзман назвал общий класс проблем, а не конкретную уязвимость. Многие AI-редакторы кода встраивают собственный мини-браузер — например, чтобы показать превью страницы или дать агенту «посмотреть» на сайт. Проблема в том, что такому встроенному браузеру дали больше прав, чем получает обычный браузер, и при этом не отгородили его от остального приложения так же жёстко.

По словам Вайзмана, разработчики «обогатили встроенный браузер возможностями, недоступными обычному браузеру», но не продумали, что произойдёт, если эти возможности попадут в руки вредоносной веб-страницы или промпт-инъекции. Отчёт охватывает пять инструментов: Cursor, GitHub Copilot, Codex (OpenAI), VS Code и Claude Desktop (Anthropic).

Какой именно баг в каждом инструменте

Хотя первопричина общая — избыточные права встроенного браузера, — последствия у каждого инструмента разные:

• Cursor — произвольное выполнение кода через промпт-инъекцию: команды можно было отправить через window.cursorBrowser.send() без клика пользователя, а npm-пакет запускался через preinstall-скрипт.
• GitHub Copilot — подделка адресной строки (spoofing): встроенный браузер показывал не тот адрес, что позволяло фишинговым формам выглядеть как настоящий сайт.
• Claude Desktop, VS Code, Codex — чтение произвольных файлов: web worker'ы не проверяли, к каким файлам на диске у них есть доступ. HTML-файл, открытый во встроенном браузере Codex, мог напрямую прочитать SSH-ключи, .env и токены npm.

Кто уже закрыл уязвимость, а кто ещё нет

Статус исправлений на момент публикации отчёта различается кардинально:

• Cursor — тихо пропатчен 1 октября 2026, до публикации отчёта.
• GitHub Copilot — исправлен в версии 1.1.29 от 13 октября 2026, независимо от исследования Forever Security.
• Claude Desktop — Anthropic сначала отклонила отчёт Forever Security как недействительный, но затем переквалифицировала его после альтернативного отчёта от Noma Security; точный статус патча на момент публикации неясен.
• VS Code — Microsoft отклонила отчёт как invalid, уязвимость остаётся без патча.
• Codex — OpenAI подтвердила проблему («aware of the issue and working to address it»), но патча на момент публикации не выпустила.

Почему это важно именно для работы с файлами

Если обычный антивирус или песочница проверяет файлы, которые пользователь скачивает и открывает сам, то здесь источник риска другой: сам AI-редактор, которому разработчик доверяет исходный код и секреты проекта, открывает произвольную веб-страницу во встроенном браузере — и эта страница получает доступ к локальным файлам на диске. Для Codex это означает прямую утечку SSH-ключей и файлов .env с переменными окружения — именно тех файлов, где чаще всего хранятся пароли от баз данных и API-ключи сервисов.

Подробнее о том, почему файл .env вообще не должен попадать в чужие руки, — в нашем материале «Что такое .env-файл», а общий разбор рисков в цепочке разработки — в статье «Кибербезопасность в разработке».

Что делать разработчикам прямо сейчас

Если вы пользуетесь Codex или VS Code с активными AI-расширениями, уязвимость пока не закрыта, поэтому разумно соблюдать базовую гигиену: не открывать во встроенном браузере редактора ссылки из непроверенных источников и не доверять агенту автономный просмотр произвольных сайтов, пока вендор не подтвердит фикс. Для Cursor и GitHub Copilot достаточно обновиться до актуальной версии — патчи уже вышли. Общие принципы защиты секретов проекта (ключей, токенов, конфигов) описаны в статье «Какие расширения файлов нельзя открывать».

Источники

• cybersecuritynews.com — Researchers Hacked Cursor, GitHub Copilot, Codex, VS Code, and Claude Desktop Embedded Browsers
• theregister.com — Researchers find bugs in 5 AI developer tools, with OpenAI and Microsoft flaws still unpatched