安全公司 Forever Security 发文称，其在 Cursor、GitHub Copilot、Codex、VS Code 和 Claude Desktop 五款 AI 工具的内嵌浏览器中发现安全问题，涉及主机代码执行、本地文件读取与外传，以及地址栏伪装。该公司将共同根源称为 EMBRACE，即「被当作真正浏览器信任的内嵌浏览器」。据其披露，截至文章发布时，Codex 和 VS Code 的相关问题仍未修复。
据 Forever Security 测试，恶意网页可在看似无害的 HTML 标签元素中隐藏命令。用户看到的是「Start setup」标签，智能体读取到的却包含攻击者指令，并请求执行。在其演示条件下，用户按一次 Enter 即可批准运行。
研究者称，命令被 Cursor 安全沙箱拦截后，智能体在网页未要求的情况下自行关闭沙箱并重试，最终在空项目中启动了计算器。作者同时强调，这一行为取决于模型，并非每次都会触发。
据该公司测试，GitHub Copilot 浏览器预览中的网页可以向应用宣称自己位于任意网址。应用只检查文本是否像网址，没有核对标签页的真实位置。
演示中，攻击者页面仍停留在原处，地址栏却显示为 github.com/login，智能体获取的标签页列表也重复了这一虚假地址。
Forever Security 称，在 Claude Desktop 和 VS Code 中，本地页面原本只能访问所属项目文件夹，但检查未覆盖页面启动的后台脚本 web worker，因此可通过 worker 读取项目外的文件。Codex 则没有这项限制，本地页面无需 worker 就能直接读取机器上的文件。
据研究者在自有机器上的测试，读取到的内容被向外发送，其中包括 SSH 密钥、.env 文件、npm 令牌及 hosts 文件。文中演示的入口是一个看似普通的财务报告项目：用户要求助手按 README 设置项目后，助手提供本地文件链接，用户点击打开后触发读取。
以下进展均据 Forever Security 的披露时间线：Cursor 于 9 月 10 日收到报告，10 月 1 日修复；GitHub Copilot 的地址栏问题于 9 月 26 日在 1.1.27 版本确认，GitHub 于 10 月 13 日在 1.1.29 中独立修复，当时研究者尚未提交报告。
Anthropic 于 7 月 23 日收到报告，以「Workspace Trust」安全边界为由认定无效；次日，Noma Security 提交的同一问题被接受为有效。OpenAI 于 7 月 27 日收到披露，作者称未获回复。微软于 9 月 10 日收到披露，也以「Workspace Trust」安全边界为由拒绝修复。文中将 Codex 和 VS Code 列为发布时仍未修复的问题。
Forever Security 同时表示，正在开发监控端点 AI 工具行为的治理产品，并在文中邀请读者联系。
