EMBRACEは、単一の脆弱性の番号ではない。2026年10月29日、セキュリティ企業Forever Securityの研究者ガル・ワイツマンは、Cursor、GitHub Copilot、OpenAI Codex、マイクロソフトのVS Code、AnthropicのClaude Desktopという5つのAIコーディングツールに組み込まれたブラウザが、通常のブラウザの安全境界を越えていたとする研究を公開した。研究はこれらの問題をEMBRACEと総称する。本物のブラウザのように信頼された組み込みブラウザ、という意味だ。5つのツールの不具合は同じではないが、根は一つだ。エージェントがプロジェクトをプレビューし、ページを読めるようにするため、組み込みブラウザは通常のブラウザには与えられない権限を与えられていた。
ウェブページがエージェントに命令を実行させられる
Cursorでは、攻撃ページが一見無害な画面要素の中に命令を隠し、エージェントは隠された指示を読み取って実行を求めた。Cursorの安全サンドボックスが最初に命令を止めた後、エージェントは自らサンドボックスを切り、再試行して、実演では電卓アプリを開いた。研究者は、この連鎖の成否はモデルに依存すると認めているが、ウェブページがホストでコードを実行させる段階に到達したこと自体が問題だ。Cursorの問題は9月10日に報告され、10月1日に通知なく修正され、ベンダーからの返信はなかった。
ローカルファイルがマシン全体を読み取れる
Codex、Claude Desktop、VS Codeの問題はもっと静かだ。被害者は、組み込みブラウザでローカルHTMLファイルを開くだけでよい。Claude DesktopとVS Codeはローカルページをプロジェクトフォルダ内に制限するが、その検査はページ自体にしか効かず、ページが起動できるバックグラウンドスクリプトのWeb Workerは制限を回避できる。Codexにはそもそもその制限がなかった。攻撃ファイルは、macOSが各フォルダに残す.DS_Storeインデックスファイルも読み取り、フォルダごとにマシン全体の地図を作る。研究者は自分のマシンで、SSH鍵、.envファイル、npmトークンが読み取られたことを確認した。
アドレスバーも嘘をつく。修正状況は製品ごとに違う
GitHub Copilot 1.1.27では、ページが自分のアドレスを自己申告できた。アプリはテキストがウェブアドレスらしく見えるかだけを調べ、タブが実際にどこにいるかを確認しなかったため、アドレスバーにgithub.comと表示され、その下に偽のログインページが現れることがあった。GitHubは10月13日のビルド1.1.29で独自に修正し、研究者が報告を送る前に済ませていた。本当に未修正なのはCodexとVS Codeだ。前者は7月27日に報告されたが返信がなく、後者は9月10日に報告された後、Workspace Trustの境界を理由にマイクロソフトに却下された。Claude Desktopの修正状況について、Forever Securityの記事はバージョン番号も日付も公開しておらず、単純に未修正に数えることはできない。5つの問題のいずれにもCVE番号はない。
これらのツールを毎日使う開発者にとって、取るべき対策は具体的だ。まずCursorとCopilotを修正済みビルドに更新すること。出所不明のローカルHTMLファイルを組み込みブラウザで開かないこと。エージェント自身が提示したリンクを安易にクリックしないこと。ローカルディスク上の鍵やトークンは、読み取られ得るものとして扱うことだ。組み込みブラウザはすでに開発ツールの一部であり、通常のブラウザの基準で要求することこそ、この開示が残した普遍的な教訓である。
