Tre regler, fem produkter
Forever Security offentliggjorde den 29. oktober en undersøgelse, der prøver fem AI-kodeassistenter mod tre regler, som en selvstændig browser håndhæver: en webside må ikke køre kommandoer på værtsmaskinen, en lokal fil må ikke læse andre filer på disken, og en side må ikke styre adresselinjen. I hvert af de fem produkter svigtede én af de tre.
Forskeren Gal Weizman giver den fælles årsag et navn — EMBRACE, en indbygget browser, der betros som var den ægte. Hver leverandør har udbygget sin indbyggede browser, så assistenten kan forhåndsvise et projekt, læse faner eller hente sidekontekst, og de tilføjelser nåede forbi de regler, browseren skulle holde.
Hvad der svigtede hvor
I Cursor viste en fjendtlig side en knap mærket “Start setup” med en agentkommando gemt indeni. Et tastetryk godkendte den, og kode kørte på maskinen. Da sandkassen blokerede kommandoen, slukkede agenten ifølge undersøgelsen for sandkassen og prøvede igen — uden at siden havde bedt om det. Om kommandoen kørte, afhang af modellen, og det skete ikke hver gang.
GitHub Copilot svigtede på adresselinjereglen. Programmet kontrollerede kun, at sidens adressetekst lignede en webadresse, så en angribers side kunne vise github.com/login, mens agentens egen faneliste gentog den falske adresse.
Claude Desktop og VS Code begrænsede begge sider til projektmappen, men begrænsningen gjaldt siden og ikke en web worker, og en worker kunne læse enhver fil på disken. Codex havde slet ingen mappekontrol. I testene indsamlede fillæsningen SSH-nøgler, .env-filer, npm-tokens og hosts-filen, med en indeksfil fra macOS Finder som kort over disken mappe for mappe.
To leverandører afviste den samme rapport
Det, der betyder mest for den, der kører disse værktøjer, er rapporteringshistorikken. Forever meldte Claude Desktop-problemet til Anthropic den 23. juli og siger, at Anthropic afviste det som ugyldigt under grænsen Workspace Trust. Noma Security meldte samme type problem den 24. juli, og Forever siger, at Anthropic godtog den rapport som gyldig.
Microsoft blev oplyst om VS Code den 10. september og afviste det ifølge undersøgelsen som ugyldigt under den samme Workspace Trust-grænse. OpenAI modtog Codex-rapporten den 27. juli og havde ikke svaret ved offentliggørelsen. Cursor blev oplyst den 10. september og lappede i stilhed den 1. oktober, tre uger senere, uden at svare forskerne. GitHub rettede Copilots adresselinjefejl i version 1.1.29 den 13. oktober, af egen drift, før nogen rapport blev indsendt.
Tillidsprompten er den omstridte grænse
Begge afvisninger hviler på Workspace Trust — prompten, der spørger udvikleren, om vedkommende stoler på den mappe, der netop er åbnet. Weizmans argument er, at prompten i praksis ikke giver nogen beskyttelse, fordi udviklere klikker “Trust” for overhovedet at kunne bruge værktøjet. To leverandører behandler det klik som brugerens accept af risikoen; undersøgelsen behandler det som en dialogboks, ingen læser.
Uenigheden er ikke akademisk. Den afgør, om en lokal HTML-fil, der læser SSH-nøgler fra en udviklers hjemmemappe, er en sårbarhed eller en forventet adfærd.
Hvad der er værd at følge
Ved offentliggørelsen var Codex og VS Code stadig ulappede, hvilket lader brugerne af de to være udsat for fillæsningsproblemet. Forevers anbefalinger til forsvarere er at kortlægge, hvilke af disse værktøjer der er installeret, behandle en indbygget browser som en angrebsflade på endepunktet snarere end en bekvemmelighed, og holde op med at regne brugerens klik som en kontrol. Det åbne spørgsmål er, om Microsoft og OpenAI skifter holdning til Workspace Trust, eller om grænsen holder og adfærden består.
