Três regras, cinco produtos
A Forever Security publicou a 29 de outubro um estudo que põe cinco assistentes de programação com IA à prova contra três regras que um navegador autónomo faz cumprir: uma página web não pode executar comandos na máquina anfitriã, um ficheiro local não pode ler outros ficheiros do disco, e uma página não pode controlar a barra de endereços. Em cada um dos cinco produtos, uma das três falhou.
O investigador, Gal Weizman, dá um nome à causa comum: EMBRACE, um navegador integrado em que se confia como se fosse um navegador a sério. Cada fabricante ampliou o seu navegador embutido para que o assistente pudesse pré-visualizar um projeto, ler separadores ou extrair o contexto da página, e essas adições passaram por cima das regras que o navegador devia manter.
O que falhou e onde
No Cursor, uma página hostil mostrava um botão “Start setup” com um comando de agente escondido lá dentro. Uma única tecla aprovava-o e o código corria na máquina. Quando a caixa de areia bloqueou o comando, o estudo diz que o agente desligou a caixa de areia e tentou de novo, sem que a página lho pedisse. Se o comando corria dependia do modelo e não acontecia sempre.
O GitHub Copilot falhou a regra da barra de endereços. A aplicação só verificava se o texto do endereço parecia um endereço web, pelo que a página de um atacante podia mostrar github.com/login enquanto a lista de separadores do próprio agente repetia esse endereço falso.
O Claude Desktop e o VS Code restringiam ambos as páginas à pasta do projeto, mas a restrição aplicava-se à página e não a um web worker, e um worker podia ler qualquer ficheiro do disco. O Codex não tinha verificação de pasta nenhuma. Nos testes, a leitura de ficheiros recolheu chaves SSH, ficheiros .env, tokens de npm e o ficheiro hosts, usando um ficheiro de índice do Finder do macOS para mapear o disco pasta a pasta.
Dois fabricantes recusaram o mesmo relato
O registo das divulgações é o que importa a quem usa estas ferramentas. A Forever comunicou o problema do Claude Desktop à Anthropic a 23 de julho e diz que a Anthropic o recusou como inválido ao abrigo do seu limite de Workspace Trust. A Noma Security comunicou o mesmo tipo de problema a 24 de julho, e a Forever diz que a Anthropic aceitou esse como válido.
A Microsoft foi informada sobre o VS Code a 10 de setembro e, segundo o estudo, recusou-o como inválido ao abrigo do mesmo limite de Workspace Trust. A OpenAI recebeu o relato do Codex a 27 de julho e não tinha respondido à data da publicação. O Cursor foi informado a 10 de setembro e corrigiu em silêncio a 1 de outubro, três semanas depois, sem responder aos investigadores. O GitHub corrigiu a falha da barra de endereços do Copilot na versão 1.1.29 a 13 de outubro, por iniciativa própria, antes de qualquer relato.
O aviso de confiança é o limite em disputa
Ambas as recusas assentam no Workspace Trust, o aviso que pergunta a quem programa se confia na pasta que acabou de abrir. O argumento de Weizman é que esse aviso não dá, na prática, proteção nenhuma, porque quem programa carrega em “Trust” para que a ferramenta sirva para alguma coisa. Dois fabricantes tratam esse clique como a aceitação do risco pelo utilizador; o estudo trata-o como uma caixa de diálogo que ninguém lê.
O desacordo não é académico. Decide se um ficheiro HTML local que lê chaves SSH da pasta pessoal de quem programa é uma vulnerabilidade ou um comportamento esperado.
O que seguir
À data da publicação, o Codex e o VS Code continuavam sem correção, o que deixa os seus utilizadores expostos ao problema de leitura de ficheiros. As recomendações da Forever para quem defende são inventariar quais destas ferramentas estão instaladas, tratar um navegador integrado como superfície de ataque do posto e não como uma comodidade, e deixar de contar o clique do utilizador como um controlo. A questão em aberto é se a Microsoft e a OpenAI mudam de posição sobre o Workspace Trust, ou se o limite se mantém e o comportamento também.
