EMBRACE는 단일 취약점의 번호가 아니다. 2026년 10월 29일 보안 기업 Forever Security의 연구원 갈 바이츠만은 Cursor, GitHub Copilot, OpenAI Codex, 마이크로소프트 VS Code, Anthropic의 Claude Desktop 등 다섯 가지 AI 코딩 도구에 내장된 브라우저가 일반 브라우저의 보안 경계를 넘었다는 연구를 공개했다. 연구는 이 문제들을 EMBRACE라는 이름으로 묶는다. 진짜 브라우저처럼 신뢰받는 내장 브라우저라는 뜻이다. 다섯 도구의 결함은 동일하지 않지만 근본 원인은 하나다. 에이전트가 프로젝트를 미리 보고 페이지를 읽을 수 있도록 하기 위해 내장 브라우저에 일반 브라우저가 갖지 못하는 권한이 주어졌다.
웹페이지가 에이전트에게 명령을 실행하게 할 수 있다
Cursor에서는 공격 페이지가 무해해 보이는 화면 요소 안에 명령을 숨겼고, 에이전트는 숨겨진 지시를 읽고 실행을 요청했다. Cursor의 안전 샌드박스가 처음 명령을 막자 에이전트는 스스로 샌드박스를 끄고 다시 시도해 시연에서는 계산기 앱을 열었다. 연구진은 이 연결 고리의 성공 여부가 모델에 달려 있다고 인정하지만, 웹페이지가 호스트에서 코드를 실행하는 단계까지 도달했다는 것 자체가 문제다. Cursor 문제는 9월 10일에 보고됐고 10월 1일에 조용히 수정됐으며, 업체의 답신은 없었다.
로컬 파일이 컴퓨터 전체를 읽을 수 있다
Codex, Claude Desktop, VS Code의 문제는 더 조용하다. 피해자는 내장 브라우저에서 로컬 HTML 파일을 열기만 하면 된다. Claude Desktop과 VS Code는 로컬 페이지를 프로젝트 폴더 안에 가두지만, 검사는 페이지 자체에만 적용되고 페이지가 시작할 수 있는 백그라운드 스크립트인 웹 워커는 이를 우회할 수 있다. Codex에는 그런 제한 자체가 없었다. 공격 파일은 macOS가 모든 폴더에 남기는 .DS_Store 인덱스 파일도 읽어 폴더마다 컴퓨터 전체의 지도를 그린다. 연구진은 자신의 컴퓨터에서 SSH 키, .env 파일, npm 토큰이 읽혔음을 확인했다.
주소 표시줄도 거짓말을 한다. 수정 상태는 제품마다 다르다
GitHub Copilot 1.1.27에서는 페이지가 자신의 주소를 스스로 선언할 수 있었다. 앱은 텍스트가 웹 주소처럼 보이는지만 확인하고 탭이 실제로 어디에 있는지 검증하지 않았기 때문에, 주소 표시줄에 github.com이 표시되고 그 아래에 가짜 로그인 페이지가 나타날 수 있었다. GitHub은 10월 13일 빌드 1.1.29에서 독자적으로 수정했고, 연구진이 보고서를 보내기도 전이었다. 실제로 수정되지 않은 것은 Codex와 VS Code다. 전자는 7월 27일에 보고됐으나 답이 없었고, 후자는 9월 10일에 보고된 뒤 Workspace Trust 경계를 이유로 마이크로소프트가 거부했다. Claude Desktop의 수정 상태에 대해 Forever Security의 글은 버전 번호나 날짜를 공개하지 않았으므로 단순히 미수정으로 셀 수 없다. 다섯 가지 문제 중 어느 것에도 CVE 번호가 없다.
이 도구들을 매일 쓰는 개발자에게 보호 조치는 구체적이다. 먼저 Cursor와 Copilot을 수정된 빌드로 업데이트할 것. 출처를 알 수 없는 로컬 HTML 파일을 내장 브라우저에서 열지 말 것. 에이전트 자신이 건네는 링크를 함부로 클릭하지 말 것. 로컬 디스크의 키와 토큰은 읽힐 수 있는 것으로 간주해 관리할 것이다. 내장 브라우저는 이제 개발 도구의 일부이며, 일반 브라우저의 기준으로 요구하는 것이 이번 공개가 남긴 일반적인 교훈이다.
