Luki EMBRACE w Codex i VS Code wciąż bez poprawki

Czym są luki EMBRACE w narzędziach AI do kodowania

Asystenci programistyczni coraz częściej mają własną przeglądarkę. Służy do podglądu strony budowanej w projekcie, czytania dokumentacji albo pracy agenta, który sam klika i sprawdza wynik. Według raportu Forever Security, którego autorem jest Gal Weizman, każde z pięciu badanych narzędzi dało tej przeglądarce więcej możliwości niż ma zwykły Chrome czy Firefox. Przez to przestały działać zabezpieczenia, na których opiera się bezpieczeństwo przeglądania stron.

Badacze wyróżnili trzy warianty. Pierwszy to uruchomienie kodu, gdy narzędzie traktuje treść odwiedzonej strony jak zaufane polecenie dla agenta. Drugi to wyciek plików, gdy lokalna strona dostaje dostęp do dysku. Trzeci to podszywanie się, gdy strona sama podaje adres, który widzi użytkownik i agent.

Nie publikujemy szczegółów technicznych, które ułatwiłyby powtórzenie ataku. Pełny opis znajduje się w raporcie badaczy.

Które narzędzia mają poprawkę

Stan na 29 października 2026 roku według Forever Security i The Register wygląda następująco.

• Cursor - uruchomienie kodu po odwiedzeniu strony i jednym zatwierdzeniu polecenia. Zgłoszenie 10 września, poprawka 1 października bez komunikatu dla użytkowników.
• GitHub Copilot - podrobiony adres strony, na przykład fałszywa strona logowania wyglądająca jak github.com. Poprawka w wersji 1.1.29 z 13 października, wydana zanim badacze zgłosili błąd.
• Codex (OpenAI) - odczyt dowolnych plików z komputera przez złośliwy lokalny plik HTML. Zgłoszenie 27 lipca, brak poprawki. Rzecznik OpenAI powiedział The Register, że firma zna problem i pracuje nad rozwiązaniem.
• VS Code (Microsoft) - ten sam rodzaj odczytu plików. Zgłoszenie 10 września, Microsoft odmówił poprawki, powołując się na granicę bezpieczeństwa Workspace Trust.
• Claude Desktop (Anthropic) - odczyt i wysłanie plików z dysku. Zgłoszenie 23 lipca odrzucone jako nieważne, a 24 lipca przyjęte od Noma Security. Raport nie podaje daty ani wersji poprawki.

Jak wyglądał atak w praktyce

Żaden z opisanych scenariuszy nie działał zupełnie bez udziału ofiary. W Cursorze trzeba było odwiedzić stronę i wcisnąć Enter przy karcie z poleceniem do uruchomienia. W Copilot użytkownik musiał poprosić czat o otwarcie adresu atakującego. W Codex, VS Code i Claude Desktop ofiara otwierała złośliwy plik HTML, często przez link podsunięty przez samego asystenta.

To ostatnie jest najbardziej niepokojące. Agent, który czyta repozytorium lub dokumentację z internetu, może zostać zmanipulowany poleceniami ukrytymi w treści, czyli przez tzw. prompt injection. Podsunięty przez niego link wygląda wtedy jak zwykła pomoc przy konfiguracji projektu.

Badacze nie informują o wykorzystaniu luk poza testami. Microsoft, Anthropic, GitHub i Cursor nie odpowiedziały na pytania The Register.

Co zrobić teraz programistom i firmom

Dla polskich zespołów, które korzystają z Codex lub VS Code w pracy z kodem klientów, praktyczne wnioski są proste. Najważniejsze jest ograniczenie sytuacji, w których wbudowana przeglądarka otwiera niezaufane treści.

1. Zaktualizuj Cursor i rozszerzenie GitHub Copilot do najnowszych wersji.
2. Nie otwieraj we wbudowanej przeglądarce lokalnych plików HTML i linków file:// z repozytoriów, których nie znasz, także gdy proponuje to asystent.
3. Czytaj karty z poleceniami agenta przed zatwierdzeniem, zwłaszcza po przeglądaniu stron internetowych.
4. Pracuj nad cudzym lub niesprawdzonym kodem w odizolowanym środowisku, na przykład w maszynie wirtualnej lub kontenerze bez dostępu do kluczy i danych firmowych.
5. Śledź komunikaty OpenAI i Microsoftu o poprawkach dla Codex i VS Code.

Ograniczenia i niewiadome

Główne źródło to raport firmy, która sprzedaje usługi bezpieczeństwa, a status poprawek pochodzi z jej obserwacji. Producenci nie wydali publicznych komunikatów o tych błędach i nie nadano im numerów CVE. Nie wiadomo też, czy Anthropic poprawił Claude Desktop, ani dlaczego najpierw odrzucił zgłoszenie.

W naszej ocenie sprawa pokazuje szerszy problem narzędzi agentowych. Funkcje dodane dla wygody, takie jak podgląd stron czy dostęp do plików projektu, stają się nową powierzchnią ataku, a producenci różnie oceniają, czy to ich odpowiedzialność.