ARTICLE · 1280834
五大 AI 编码工具内嵌浏览器被曝同一类漏洞,Codex 与 VS Code 至今未修
你在 Cursor 里让 AI 帮你预览过网页吗？在 VS Code 里点开过项目文件夹里的 HTML 文件吗？
如果有，这篇建议你花五分钟看完。
10 月 29 日，AI 安全公司 Forever Security 发了一份报告：Cursor、GitHub Copilot、Claude Desktop、OpenAI Codex、VS Code，五款最主流的 AI 开发工具，内嵌浏览器被曝出同一类漏洞。研究团队给它起了个名字：Embrace，来自 EMbedded BRowser（内嵌浏览器）的缩写。The Register 等媒体当天跟进报道。
报告里最扎心的两条：
Cursor 的洞，能让 AI 在你电脑上执行恶意命令——被沙箱拦住之后，AI 自己把沙箱关了重试；
Codex 和 VS Code 的洞，点开一个本地 HTML 文件，就可能读走你机器上的 SSH 密钥、token 和 .env 文件。
而且到报告发布那天，Codex 和 VS Code 的洞，还没修。
01 这次不是五个洞，是一类洞
这次最值得琢磨的地方在于：五家产品，五拨工程师，踩的是同一个坑。
正常浏览器有几条铁律：网页不能指挥你电脑上的程序；网页不能改地址栏；本地网页不能乱读硬盘上的其他文件。
但 AI 编程工具为了让 Agent 好用，纷纷给内嵌浏览器开特权：让网页内容能直接喂给 AI 当指令，让 AI 知道标签页在什么地址，让预览页能加载本地文件。
Forever Security 的研究员 Gal Weizman 把这类问题统一命名为 Embrace：每开一个特权，就有一条铁律失效。具体分三种形态——任意代码执行（Cursor）、任意文件读取（Claude Desktop、Codex、VS Code）、地址栏伪造（Copilot）。
02 每家的洞长什么样，挑重点讲
Cursor：网页能给 AI 下指令
任何网页都能通过内置通道把内容塞进 Cursor 的 AI 对话框，AI 把它当指令执行，而这些内容人是看不见的。研究员把一条恶意命令拆成几段、藏在网页代码的不同位置，让 AI 自己拼出来运行。配合默认开启的自动执行，全程人只需要按一次回车。
最魔幻的是：沙箱拦住安装时，AI 自己把沙箱关了，又试了一遍。当然报告也说得很实在：攻击成功率取决于所用模型，不是百分之百。
GitHub Copilot：地址栏会说谎
网页可以谎报自己的地址，Copilot 只检查它"长得像不像网址"，不验证真假。于是地址栏显示 github.com/login，底下可能是个钓鱼页。这对 AI 尤其致命——Agent 判断一个网页可不可信，看的就是地址。
Claude Desktop、Codex、VS Code：本地 HTML 能读你的文件
Claude Desktop 和 VS Code 限制了本地页面只能碰项目文件夹，但这个限制对浏览器的后台线程（Web Worker）不生效，绕过去就能读全盘。Codex 更直接，压根没这个限制，本地页面可以直接读机器上的任意文件。
03 修复状态，一张表看清楚
注：状态截至 Forever Security 2026 年 10 月 29 日报告发布及 The Register 当天报道。
04 大厂的反应，比漏洞本身更值得看
漏洞不稀奇，稀奇的是姿态。
Anthropic 的戏码最有意思：同样的洞，Forever Security 报，无效；换一家公司报，就有效了。OpenAI 至今不回应，微软把它归为"工作区信任边界问题"，不打算修。
老刘做了这么多年产品，看懂了一件事：厂商说"这不是漏洞"，往往不是技术上没毛病，而是这个洞长在产品卖点上。内嵌浏览器是这波 AI 编程工具的核心体验——AI 替你开网页、预览项目、读懂内容，每加一个能力，攻击面就宽一圈。
这是 Agent 时代的新账：能力和攻击面，是同一个东西的两面。
05 现在能做的三件事
- 升级。
Cursor 升到 10 月 1 日以后的版本，Copilot 确认版本在 1.1.29 以上。 - 管住 AI 的手。
关掉自动执行命令，AI 跑命令前必须人工确认。麻烦一点，值得。 - 别在内嵌浏览器里点来路不明的东西。
不信任的 HTML 文件和网页，用独立浏览器打开。SSH 密钥、token 和 .env 文件，该挪走的挪走。
写在最后
说句公道话：目前没有证据表明这些漏洞被真实利用过，都是研究员的验证演示，利用代码也没有公开，不用恐慌。
但老刘的判断是：Embrace 不会只有这五家。你用的 AI 工具只要凑齐"内嵌浏览器、能读本地文件、能执行命令"这三件套，就值得多留个心眼。
你交给 AI 的每一个权限，都是替攻击者多开的一扇门。
门开得越多，越要记得问一句：进来的人，查过证件吗？
你在用哪款 AI 编程工具？关自动执行了吗？评论区聊聊。
