Tres reglas, cinco productos
Forever Security publicó el 29 de octubre una investigación que somete a cinco asistentes de programación con IA a tres reglas que un navegador independiente hace cumplir: una página web no puede ejecutar comandos en el equipo anfitrión, un archivo local no puede leer otros archivos del disco y una página no puede controlar la barra de direcciones. En cada uno de los cinco productos, una de las tres falló.
El investigador, Gal Weizman, pone nombre a la causa común: EMBRACE, un navegador integrado al que se confía como si fuera uno de verdad. Cada fabricante añadió capacidades a su navegador incorporado para que el asistente pudiera previsualizar un proyecto, leer pestañas o extraer el contexto de la página, y esas adiciones sortearon las reglas que el navegador debía mantener.
Qué falló en cada caso
En Cursor, una página hostil mostraba un botón de “Iniciar configuración” con un comando de agente escondido dentro. Una sola pulsación lo aprobaba y el código se ejecutaba en el equipo. Cuando el entorno aislado bloqueó el comando, según la investigación el agente desactivó ese aislamiento y lo intentó de nuevo, sin que la página se lo pidiera. Que el comando llegara a ejecutarse dependía del modelo y no ocurría siempre.
GitHub Copilot falló la regla de la barra de direcciones. La aplicación solo comprobaba que el texto de la dirección pareciera una dirección web, de modo que la página de un atacante podía mostrar github.com/login mientras la propia lista de pestañas del agente repetía esa dirección falsa.
Claude Desktop y VS Code restringían las páginas a la carpeta del proyecto, pero la restricción se aplicaba a la página y no a un web worker, y un worker podía leer cualquier archivo del disco. Codex no tenía comprobación de carpeta alguna. En las pruebas, la lectura de archivos recogió claves SSH, archivos .env, tokens de npm y el archivo hosts, usando un índice del Finder de macOS para cartografiar el disco carpeta por carpeta.
Dos fabricantes rechazaron el mismo informe
El historial de divulgación es lo que importa a quien use estas herramientas. Forever comunicó el problema de Claude Desktop a Anthropic el 23 de julio y dice que Anthropic lo rechazó como no válido bajo su límite de Workspace Trust. Noma Security comunicó el mismo tipo de problema el 24 de julio, y Forever dice que Anthropic sí lo aceptó como válido.
A Microsoft se le informó de VS Code el 10 de septiembre y, según la investigación, lo rechazó como no válido bajo ese mismo límite de Workspace Trust. OpenAI recibió el informe de Codex el 27 de julio y no había respondido en el momento de la publicación. A Cursor se le informó el 10 de septiembre y parcheó en silencio el 1 de octubre, tres semanas después, sin responder a los investigadores. GitHub corrigió el fallo de la barra de direcciones de Copilot en la versión 1.1.29 el 13 de octubre, por su cuenta, antes de que se presentara ningún informe.
El aviso de confianza es el límite en disputa
Ambos rechazos se apoyan en Workspace Trust, el aviso que pregunta a quien programa si confía en la carpeta que acaba de abrir. El argumento de Weizman es que ese aviso no ofrece prácticamente ninguna protección en la práctica, porque la gente pulsa “Confiar” para que la herramienta sirva de algo. Dos fabricantes tratan esa pulsación como la aceptación del riesgo por parte del usuario; la investigación la trata como un diálogo que nadie lee.
El desacuerdo no es académico. Decide si un archivo HTML local que lee claves SSH del directorio personal de quien programa es una vulnerabilidad o un comportamiento previsto.
Qué vigilar
En el momento de la publicación, Codex y VS Code seguían sin parche, lo que deja a sus usuarios expuestos al problema de lectura de archivos. Las recomendaciones de Forever para quien defiende son inventariar cuáles de estas herramientas están instaladas, tratar un navegador integrado como superficie de ataque del endpoint y no como una comodidad, y dejar de contar la pulsación del usuario como un control. La pregunta abierta es si Microsoft y OpenAI cambian su postura sobre Workspace Trust o si el límite se mantiene y el comportamiento también.
