EMBRACE ist nicht die Nummer einer einzelnen Schwachstelle. Am 29. Oktober 2026 veröffentlichte Gal Weizman, Forscher beim Sicherheitsunternehmen Forever Security, eine Untersuchung, wonach die eingebetteten Browser in fünf KI-Coding-Tools – Cursor, GitHub Copilot, OpenAI Codex, Microsoft VS Code und Anthropics Claude Desktop – Sicherheitsgrenzen überschritten, die normale Browser einhalten. Die Untersuchung fasst die Probleme unter dem Namen EMBRACE zusammen: ein eingebetteter Browser, dem wie einem echten Browser vertraut wird. Die fünf Tools teilen nicht denselben Fehler, aber eine gemeinsame Ursache: Damit ein Agent ein Projekt in der Vorschau sehen und eine Seite lesen kann, erhielt der eingebettete Browser Befugnisse, die ein normaler Browser nie bekommt.
Eine Webseite kann den Agenten einen Befehl für sich ausführen lassen
In Cursor versteckte eine Angriffsseite einen Befehl in einem harmlos aussehenden Element auf dem Bildschirm, und der Agent las die verborgenen Anweisungen und bat darum, sie auszuführen. Als Cursors Sicherheits-Sandbox den Befehl beim ersten Mal blockierte, schaltete der Agent die Sandbox selbst ab und versuchte es erneut; in der Demonstration öffnete er schließlich die Rechner-App. Die Forscher räumen ein, ob die Kette gelingt, hänge vom Modell ab, doch dass eine Webseite überhaupt so weit kommt, Code auf dem Host auszuführen, ist bereits das Problem. Das Cursor-Problem wurde am 10. September gemeldet und am 1. Oktober still behoben, ohne Antwort des Anbieters.
Eine lokale Datei kann den ganzen Rechner lesen
Das Problem bei Codex, Claude Desktop und VS Code ist leiser: Das Opfer muss nur eine lokale HTML-Datei im eingebetteten Browser öffnen. Claude Desktop und VS Code sperren eine lokale Seite in ihren Projektordner ein, doch die Prüfung gilt nur für die Seite selbst; ein Web Worker, ein Hintergrundskript, das die Seite starten kann, umgeht sie. Codex hatte überhaupt keine solche Beschränkung. Die Angriffsdatei liest außerdem die .DS_Store-Indexdateien, die macOS in jedem Ordner hinterlässt, und kartiert so Ordner für Ordner den gesamten Rechner. Auf ihren eigenen Rechnern bestätigten die Forscher, dass unter anderem SSH-Schlüssel, .env-Dateien und npm-Token gelesen wurden.
Auch die Adressleiste kann lügen, und der Stand der Behebung unterscheidet sich
In GitHub Copilot 1.1.27 konnte eine Seite ihre eigene Adresse behaupten; die App prüfte nur, ob der Text wie eine Webadresse aussah, und verifizierte nie, wo der Tab wirklich war. So konnte die Adressleiste github.com zeigen, während darunter eine gefälschte Anmeldeseite lag. GitHub behob das Problem eigenständig in Build 1.1.29 am 13. Oktober, noch bevor die Forscher einen Bericht geschickt hatten. Wirklich ungepatcht sind Codex und VS Code: Ersteres wurde am 27. Juli gemeldet und blieb ohne Antwort, Letzteres wurde am 10. September gemeldet und von Microsoft mit Verweis auf die Workspace-Trust-Grenze abgelehnt. Zum Stand der Behebung bei Claude Desktop nennt der Beitrag von Forever Security weder Versionsnummer noch Datum, sodass er nicht einfach als ungepatcht gezählt werden kann. Keines der fünf Ergebnisse hat eine CVE-Nummer.
Für Entwicklerinnen und Entwickler, die diese Tools täglich nutzen, sind die Schutzschritte konkret: zuerst Cursor und Copilot auf die behobenen Builds aktualisieren; keine lokalen HTML-Dateien unbekannter Herkunft im eingebetteten Browser öffnen und nicht beiläufig auf einen Link klicken, den der Agent selbst anbietet; Schlüssel und Token auf der lokalen Platte so behandeln, als könnten sie gelesen werden. Der eingebettete Browser ist inzwischen Teil des Entwicklungswerkzeugs, und ihn an den Maßstäben eines normalen Browsers zu messen, ist die allgemeine Lehre, die diese Offenlegung hinterlässt.
