AI Radar
Исследователи обнаружили уязвимости во встроенных браузерах пяти AI-инструментов разработки
Forever Security обнаружила уязвимости во встроенных браузерах пяти AI-инструментов разработки, включая Cursor, Copilot и Codex. Они затрагивают разработчиков, которые открывают страницы или локальные файлы прямо в этих приложениях.
Исследователи Forever Security объединили находки названием Embrace: все пять случаев касаются браузера, встроенного в приложение для разработки. Обычная веб-страница не может запускать команды на компьютере пользователя или произвольно читать его файлы. В исследованных инструментах встроенным вкладкам дали дополнительные возможности для работы с агентом, проектом или самим интерфейсом приложения. Именно эти расширения позволили проверить, можно ли пересечь границу между содержимым страницы и полномочиями программы.
В Cursor открытая во встроенном браузере страница могла обратиться к composer агента. Агент воспринимал переданный текст как инструкции, тогда как пользователь их не видел. Это создавало путь для prompt injection: атакующий размещает команды в менее доверенном содержимом и добивается, чтобы агент выполнил их с доступом к компьютеру. Forever Security сообщила Cursor о проблеме 10 сентября; исследователи указывают, что исправление вышло 1 октября.
В GitHub Copilot исследователи нашли другой сценарий. Страница могла сообщить встроенному браузеру адрес, который тот показывал в адресной строке, хотя фактически была открыта другая страница. Проверка принимала строку, похожую на URL, но не сверяла её с реальным адресом вкладки. В результате под видом знакомого адреса можно было показать поддельную страницу входа. Уязвимость обнаружили в Copilot 1.1.27; GitHub самостоятельно исправила её в версии 1.1.29.
Проблемы Claude Desktop, VS Code и Codex касались локальных HTML-файлов, открытых во встроенных браузерах. В Claude Desktop и VS Code ограничения на доступ страницы к файлам проекта можно было обойти через web worker – фоновый поток JavaScript. В Codex локальная страница, по данным исследователей, могла читать файлы напрямую. Исследователи указывают, что проблемы VS Code и Codex оставались без исправлений на момент публикации. Описанные сценарии зависят от того, откроет ли разработчик такой файл в затронутой конфигурации.
Почему это важно
Разработчики, открывающие страницы и локальные HTML-файлы внутри AI-инструментов, могут столкнуться с чтением файлов или выполнением команд через уязвимую конфигурацию. Исправления для Cursor и Copilot уже описаны; для VS Code и Codex они на момент публикации не подтверждены.
Мнение редакции
Мнение редакцииВстроенный браузер в редакторе кода выглядит привычно, поэтому его легко считать обычной вкладкой. Здесь граница доверия проходит ближе к компьютеру разработчика: вкладка может взаимодействовать с агентом или локальными файлами.
Первоисточники и подтверждения
Подборку проверяет редакция DSML. AI помогает дедуплицировать сигналы и готовить текст, но опубликованный выпуск остаётся редакционным продуктом, а не лентой отдельных каналов.