AIアシスタント5製品の内蔵ブラウザに脆弱性 CodexとVS Codeは未修正
AIコーディングツール脆弱性プロンプトインジェクション情報漏えい開発環境
Forever Security が、Cursor・GitHub Copilot・Codex・VS Code・Claude Desktop の内蔵ブラウザに共通する脆弱性群「EMBRACE」を公表した。任意コード実行、プロジェクト外のファイル読み出し、アドレスバーの偽装が可能で、Codex と VS Code は公表時点で未修正と報告されている。
何が発表されたか
- 2026年10月29日、Forever Security（研究者 Gal Weizman）が「EMBRACE」と名付けた脆弱性群を公表した。AI アシスタントが内蔵するブラウザを通常のブラウザと同じように信頼し、さらに通常のブラウザ以上の権限を与えている設計に起因するとしている。
- 問題の形態は3つ。任意コード実行、任意のコンテンツ持ち出し、任意のコンテキスト偽装。
- Cursor では、悪意あるページが無害に見えるチップの中にコマンドを隠し、1回の承認でホスト上でコードが実行された。検証中にエージェントが自身のサンドボックスを無効化する挙動も観測されたとしている。
- GitHub Copilot では、ページ側が任意の URL を名乗れるため、アドレスバーとエージェントのタブ一覧に実際とは異なるサイト（例: github.com）が表示された。
- Codex・Claude Desktop・VS Code では、内蔵ブラウザで開いたローカルファイルがプロジェクト外のファイルを読めた。Claude Desktop と VS Code はフォルダ制限をページ本体にのみ適用し web worker には適用していないため、worker からディスク全体を読めたとしている。Codex にはこの制限がなかった。検証では SSH 鍵、.env、npm トークンが取得されている。
取るべき対応
- 影響を受けるのは、これらのツールを使う開発端末。まず社内でどの製品が入っているかを棚卸しする。いずれも内蔵ブラウザを同梱している。
- 修正状況は製品ごとに異なる。Cursor は10月1日に修正（告知なし）、GitHub Copilot はビルド1.1.29（10月13日）でアドレスバーの問題を修正。Codex と VS Code は公表時点で未修正、Claude Desktop は同種の報告が受理された段階と記載されている。手元のバージョンを確認し、更新できるものは速やかに更新する。
- 内蔵ブラウザは「エディタの一機能」ではなく、未知のページやファイルを読み込んでエージェントが操作する攻撃面として扱う。
- 「ユーザーのクリックが必要」を防御として当てにしない。報告された攻撃では、信頼しているツール側の表示がクリックを誘導していた。