Los asistentes de código de escritorio traen un navegador integrado para previsualizar páginas y dejar que el agente las use. El equipo de Forever Security demostró que ese navegador recibe poderes que uno normal no tiene, y que eso rompe el modelo de amenazas. Su investigación, llamada EMBRACE, toca a Cursor, GitHub Copilot, Claude Desktop, Codex y VS Code.
Qué encontraron: tres clases de falla
El hallazgo común, según The Register y la explicación técnica de Gal Weizman, es que cada herramienta enriqueció su navegador embebido más allá de lo que permite uno normal, y esos añadidos minan el modelo de amenazas tradicional: como entrada del agente, como autoridad sobre la dirección de una pestaña o como acceso al anfitrión. Forever Security, que The Register describe como una startup de seguridad en IA, agrupa los fallos en ejecución arbitraria de código (Cursor), exfiltración arbitraria de contenido (Claude Desktop, Codex y VS Code) y emulación arbitraria de contexto (GitHub Copilot). Ninguna fuente lista identificadores CVE.
Cómo funciona cada falla
- Cursor: según el blog, cualquier página puede llamar a
window.cursorBrowser.send(...)y llegar al compositor del agente, sin gesto del usuario. Repartiendo un comando entre atributos ocultos de un chip falso de "elemento seleccionado", el atacante esquiva la negativa del agente; con ejecución automática y lista de permitidos vacía, corre con una sola tecla Enter. La prueba lanzó la Calculadora. El éxito es probabilístico y depende del modelo. - GitHub Copilot: una página puede informar una URL falsa a la barra de direcciones de la vista previa; la aplicación solo comprobaba que empezara con http, https o file. Ejemplo: mostrar github.com/login sobre una página del atacante.
- Claude Desktop y VS Code: el límite de la carpeta de proyecto se aplica en el documento principal, pero no dentro de un Web Worker. Desde ahí se leen archivos locales vía file://, y recorren el disco gracias a archivos .DS_Store en macOS.
- Codex: según el blog, no tiene ninguna barrera de lectura de archivos para la página, y una lectura directa devuelve cualquier archivo de la máquina.