Forever Security опубликовала 29 октября исследование EMBRACE: встроенные браузеры пяти инструментов для разработки с ИИ нарушали границы, на которые пользователь привык рассчитывать при просмотре страницы. В Codex, VS Code и Claude Desktop исследователи показали чтение файлов за пределами открытого проекта. В их опыте это затронуло SSH-ключи, токены npm и файлы настроек с секретами. Это лабораторная демонстрация, а не сообщение о взломе пользователей.

Для атаки нужно было открыть специально подготовленный локальный HTML-файл во встроенном браузере. В техническом разборе описано, что VS Code и Claude Desktop ограничивали доступ самой страницы папкой проекта, но не применяли ту же проверку к фоновому скрипту — web worker. Через него страница получала содержимое файлов снаружи. В проверенном Codex такого ограничения не было и для самой страницы. Сбор и передачу данных авторы проверяли на собственной машине, отправляя результат локальному приёмнику.

Два других опыта показали иные последствия. В Cursor страница передавала скрытые указания агенту через интерфейс выбора элемента: после нажатия Enter агент запускал установку пакета, открывавшего калькулятор. Успех зависел от поведения модели; автоматического заражения от одного посещения исследование не доказывает. В GitHub Copilot страница могла сообщить приложению ложный адрес: вкладка оставалась на сайте исследователя, а строка адреса и агент считали её страницей GitHub.

По хронологии Forever, Cursor исправила свой случай 1 октября, а GitHub — в Copilot 1.1.29 от 13 октября. Проблемы Codex и VS Code авторы считали неисправленными на момент раскрытия. При этом Microsoft, по их словам, отклонила сообщение, сославшись на границу Workspace Trust — предварительное доверие к проекту. Документация VS Code действительно относит разрешение выполнять код проекта к этому решению пользователя; в недоверенном проекте агенты отключены. Поэтому результат нельзя переносить на любой открытый файл при любых настройках. Показанный риск возникает в самом просмотрщике: ограничения основной страницы должны действовать и для скриптов, которые она запускает.