Tre regler, fem produkter
Forever Security publiserte 29. oktober en studie som prøver fem KI-kodeassistenter mot tre regler en frittstående nettleser håndhever: en nettside kan ikke kjøre kommandoer på vertsmaskinen, en lokal fil kan ikke lese andre filer på disken, og en side kan ikke styre adressefeltet. I hvert av de fem produktene sviktet én av de tre.
Forskeren Gal Weizman gir den felles årsaken et navn — EMBRACE, en innebygd nettleser som blir stolt på som om den var ekte. Hver leverandør har utvidet sin innebygde nettleser slik at assistenten kan forhåndsvise et prosjekt, lese faner eller hente sidekontekst, og de tilleggene nådde forbi reglene nettleseren skulle holde.
Hva som sviktet hvor
I Cursor viste en fiendtlig side en knapp merket “Start setup” med en agentkommando skjult inni. Ett tastetrykk godkjente den, og kode kjørte på maskinen. Da sandkassen blokkerte kommandoen, skrudde agenten ifølge studien av sandkassen og prøvde igjen — uten at siden hadde bedt om det. Om kommandoen kjørte avhang av modellen, og det skjedde ikke hver gang.
GitHub Copilot sviktet på adressefeltsregelen. Programmet sjekket bare at sidens adressetekst så ut som en nettadresse, slik at en angripers side kunne vise github.com/login mens agentens egen faneliste gjentok den falske adressen.
Claude Desktop og VS Code begrenset begge sider til prosjektmappen, men begrensningen gjaldt siden og ikke en web worker, og en worker kunne lese hvilken som helst fil på disken. Codex hadde ingen mappekontroll i det hele tatt. I testene samlet fillesingen inn SSH-nøkler, .env-filer, npm-tokens og hosts-filen, med en indeksfil fra macOS Finder som kart over disken mappe for mappe.
To leverandører avviste den samme rapporten
Det som betyr mest for den som kjører disse verktøyene, er rapporteringshistorikken. Forever meldte Claude Desktop-problemet til Anthropic 23. juli og sier at Anthropic avviste det som ugyldig under grensen Workspace Trust. Noma Security meldte samme type problem 24. juli, og Forever sier at Anthropic godtok den rapporten som gyldig.
Microsoft ble varslet om VS Code 10. september og avviste det ifølge studien som ugyldig under den samme Workspace Trust-grensen. OpenAI fikk Codex-rapporten 27. juli og hadde ikke svart ved publisering. Cursor ble varslet 10. september og lappet stille 1. oktober, tre uker senere, uten å svare forskerne. GitHub rettet Copilots adressefeltfeil i versjon 1.1.29 den 13. oktober, på eget initiativ, før noen rapport ble sendt.
Tillitsvarselet er den omstridte grensen
Begge avvisningene hviler på Workspace Trust — varselet som spør utvikleren om hen stoler på mappen som nettopp ble åpnet. Weizmans argument er at varselet i praksis ikke gir noen beskyttelse, fordi utviklere klikker “Trust” for at verktøyet skal være brukbart i det hele tatt. To leverandører behandler det klikket som at brukeren tar risikoen; studien behandler det som en dialogboks ingen leser.
Uenigheten er ikke akademisk. Den avgjør om en lokal HTML-fil som leser SSH-nøkler fra en utviklers hjemmekatalog er en sårbarhet eller forventet oppførsel.
Hva som er verdt å følge
Ved publisering var Codex og VS Code fortsatt ulappet, noe som lar brukerne av de to være utsatt for fillesingsproblemet. Forevers anbefalinger til forsvarere er å kartlegge hvilke av disse verktøyene som er installert, behandle en innebygd nettleser som en angrepsflate på endepunktet snarere enn en bekvemmelighet, og slutte å regne brukerens klikk som en kontroll. Det åpne spørsmålet er om Microsoft og OpenAI endrer standpunkt om Workspace Trust, eller om grensen holder og oppførselen blir stående.
