Forever Security 在 Cursor、Copilot、Claude Desktop、VS…

在五款流行的人工智能（AI）开发工具中发现了多个安全漏洞，可能允许黑客执行代码、窃取文件或操纵浏览器地址栏。包括OpenAI的Codex和微软的Visual Studio Code（VS Code）在内的工具中，部分漏洞仍未修补，引发用户担忧。

据《The Register》当地时间10月29日报道，网络安全初创公司Forever Security在五款AI开发工具中发现了漏洞：SpaceXAI的Cursor、GitHub Copilot、Anthropic的Claude Desktop、VS Code和Codex。

研究发现，这些工具赋予内嵌浏览器常规网络浏览器所不允许的能力和系统访问权限，从而形成可绕过既有浏览器安全边界的漏洞。Forever Security将这类漏洞命名为Embrace（EMbedded BRowser，内嵌浏览器）。

在五款流行AI开发工具中发现的安全漏洞。（来源：Forever Security）

据Forever Security称，这些漏洞可导致Cursor中的远程代码执行、Claude Desktop、Codex和VS Code中的数据窃取，以及GitHub Copilot中的地址栏伪造。

在常规网络浏览器中运行的JavaScript无法直接调用本地应用功能或执行系统命令。然而，Cursor的内嵌浏览器允许网页调用Composer，即Cursor AI代理的工作界面。

代理可将网页传递的内容解释为指令并在不单独通知用户的情况下执行。如果攻击者在网页中嵌入恶意提示，这可能最终导致远程代码执行攻击，通过提示注入允许任意命令在用户PC上运行。

Forever Security于9月10日向Cursor报告了该漏洞，Cursor于10月1日应用了补丁。然而据报道，该公司未发布官方安全公告，也未向研究人员提供单独回应。

GitHub Copilot的浏览器预览功能也存在缺陷，允许网页直接向应用提供其自身地址。系统仅检查所提供的文本是否符合有效网址格式（如HTTP或HTTPS），而未验证实际目的地。结果，攻击者可加载钓鱼网站，同时在地址栏中显示看似合法的URL，如github.com/login。

Forever Security于9月26日发现该缺陷。GitHub在未收到Forever Security报告的情况下，通过10月13日发布的v1.1.29补丁自行修复了该问题。

Forever Security发现的Embrace（EMbedded BRowser）漏洞攻击流程。本地file://页面可读取同一文件夹中的文件，如./data.json，但被阻止访问该文件夹之外的文件，如/etc/hosts。使用Web Worker可绕过此限制，允许攻击者通过.DS_Store文件搜索磁盘，并提取SSH密钥、.env文件、令牌和其他凭据。（来源：Forever Security）

研究发现，这三款工具均存在漏洞，允许在其内嵌浏览器中打开的本地HTML文件跨越安全边界并访问系统上的其他文件。

Claude Desktop和VS Code将本地页面访问限制在项目文件夹内。然而，研究人员发现，这些限制可使用Web Worker绕过。Web Worker是一种浏览器功能，在与网页主线程分离的后台线程中执行JavaScript，从而允许访问系统上的任何文件。

Codex最初就没有将本地HTML文件访问限制在项目文件夹内的机制。结果，无需使用Web Worker绕过限制，即可直接访问整个系统中的文件。

Forever Security演示OpenAI Codex漏洞的截图1。在Codex内嵌浏览器中打开的本地file://页面被分配了实际源，从而能够访问设备上的其他文件。（来源：Forever Security）

OpenAI Codex漏洞演示的截图2。本地HTML页面成功访问了项目目录之外的~/.ssh文件夹。SSH私钥id_ed25519被读取，而访问id_rsa失败。（来源：Forever Security）

OpenAI Codex漏洞演示的截图3。从整个磁盘收集的文件积累在dumps/文件夹中，包括从Claude的配置文件（~/.claude/settings.json）读取的数据。（来源：Forever Security）

OpenAI Codex漏洞演示的截图4。提取的文件存储在本地dumps/文件夹中，Chrome的cookie数据库、浏览器配置文件、云凭据和开发者机密被保存为分类的JSON文件。（来源：Forever Security）

Forever Security表示，已向Anthropic、OpenAI和微软报告了这些漏洞，但各公司回应不一。

Anthropic 最初驳回了 Forever Security 于 7 月 23 日提交的 Claude Desktop 漏洞报告，理由是该问题不涉及受 Workspace Trust 保护的安全边界。然而，次日另一家网络安全公司 Noma Security 报告了同一漏洞，促使 Anthropic 将其认定为有效问题。

OpenAI 于 7 月 27 日收到 Forever Security 的 Codex 漏洞报告，但未回复研究人员。不过，该公司向 The Register 表示，它已获悉该问题，并正在着手修复。

微软也将 9 月 10 日报告的 VS Code 漏洞判定为无效，理由是它不涉及受 Workspace Trust 保护的安全边界。Workspace Trust 是 VS Code 的一项安全功能，用于判断用户打开的项目或文件夹是否可信，并限制该工作区内可用的功能和权限。

据 The Register 报道，截至发稿时，Codex 和 VS Code 中的漏洞仍未修补。