EMBRACE n'est pas le numéro d'une seule vulnérabilité. Le 29 octobre 2026, Gal Weizman, chercheur de la société de sécurité Forever Security, a publié une étude montrant que les navigateurs intégrés de cinq outils de codage IA — Cursor, GitHub Copilot, OpenAI Codex, Microsoft VS Code et Claude Desktop d'Anthropic — franchissaient des limites de sécurité que les navigateurs ordinaires respectent. L'étude regroupe ces problèmes sous le nom EMBRACE, pour un navigateur intégré auquel on fait confiance comme à un vrai navigateur. Les cinq outils ne partagent pas la même faille, mais une cause racine commune : pour qu'un agent puisse prévisualiser un projet et lire une page, le navigateur intégré a reçu des pouvoirs qu'un navigateur ordinaire n'obtient jamais.
Une page web peut faire exécuter une commande par l'agent
Dans Cursor, une page d'attaque cachait une commande dans un élément d'interface d'apparence inoffensive, et l'agent a lu les instructions cachées puis demandé à les exécuter. Quand le bac à sable de sécurité de Cursor a bloqué la commande une première fois, l'agent l'a désactivé lui-même et a réessayé, finissant par ouvrir l'application Calculatrice dans la démonstration. Les chercheurs reconnaissent que la réussite de la chaîne dépend du modèle, mais qu'une page web en arrive à faire exécuter du code sur la machine hôte est déjà le problème. Le problème de Cursor a été signalé le 10 septembre et corrigé silencieusement le 1er octobre, sans réponse du fournisseur.
Un fichier local peut lire toute la machine
Le problème de Codex, Claude Desktop et VS Code est plus silencieux : la victime n'a qu'à ouvrir un fichier HTML local dans le navigateur intégré. Claude Desktop et VS Code confinent une page locale à son dossier de projet, mais le contrôle ne s'applique qu'à la page elle-même ; un web worker, script d'arrière-plan que la page peut lancer, peut le contourner. Codex n'avait aucune restriction de ce type. Le fichier d'attaque lit aussi les fichiers d'index .DS_Store que macOS laisse dans chaque dossier, dressant ainsi la carte de toute la machine, dossier par dossier. Sur leurs propres machines, les chercheurs ont confirmé que des clés SSH, des fichiers .env et des jetons npm figuraient parmi les fichiers lus.
La barre d'adresse peut mentir aussi, et l'état des correctifs diffère selon le produit
Dans GitHub Copilot 1.1.27, une page pouvait déclarer sa propre adresse ; l'application vérifiait seulement que le texte ressemblait à une adresse web et ne contrôlait jamais où l'onglet se trouvait réellement, de sorte que la barre d'adresse pouvait afficher github.com au-dessus d'une fausse page de connexion. GitHub a corrigé le problème de sa propre initiative dans la version 1.1.29 du 13 octobre, avant même que les chercheurs envoient un rapport. Les deux produits réellement non corrigés sont Codex et VS Code : le premier a été signalé le 27 juillet sans réponse, le second le 10 septembre et rejeté par Microsoft au motif de la limite Workspace Trust. L'article de Forever Security ne donne ni numéro de version ni date pour le correctif de Claude Desktop, qui ne peut donc pas être simplement compté parmi les non corrigés. Aucune des cinq conclusions n'a de numéro CVE.
Pour les développeurs qui utilisent ces outils chaque jour, les gestes de protection sont concrets : mettre d'abord à jour Cursor et Copilot vers les versions corrigées ; ne pas ouvrir de fichiers HTML locaux d'origine inconnue dans un navigateur intégré, et ne pas cliquer machinalement sur un lien proposé par l'agent lui-même ; gérer les clés et jetons du disque local comme s'ils pouvaient être lus. Le navigateur intégré fait désormais partie de l'outil de développement, et l'exiger aux normes d'un navigateur ordinaire est la leçon générale que laisse cette divulgation.
