Tre regler, fem produkter
Forever Security publicerade den 29 oktober en studie som prövar fem AI-kodassistenter mot tre regler som en fristående webbläsare upprätthåller: en webbsida får inte köra kommandon på värddatorn, en lokal fil får inte läsa andra filer på disken, och en sida får inte styra adressfältet. I var och en av de fem produkterna föll en av de tre.
Forskaren Gal Weizman ger den gemensamma orsaken ett namn — EMBRACE, en inbyggd webbläsare som anförtros som om den vore en riktig. Varje leverantör har byggt ut sin inbyggda webbläsare så att assistenten kan förhandsgranska ett projekt, läsa flikar eller hämta sidkontext, och de tilläggen nådde förbi de regler webbläsaren skulle hålla.
Vad som brast var
I Cursor visade en fientlig sida en knapp märkt “Start setup” med ett agentkommando gömt inuti. Ett tangenttryck godkände det och kod kördes på värddatorn. När sandlådan blockerade kommandot stängde agenten enligt studien av sandlådan och försökte igen — utan att sidan hade bett om det. Om kommandot kördes berodde på modellen, och det skedde inte varje gång.
GitHub Copilot föll på adressfältsregeln. Programmet kontrollerade bara att sidans adresstext såg ut som en webbadress, så en angripares sida kunde visa github.com/login medan agentens egen fliklista upprepade den falska adressen.
Claude Desktop och VS Code begränsade båda sidor till projektmappen, men begränsningen gällde sidan och inte en web worker, och en worker kunde läsa vilken fil som helst på disken. Codex hade ingen mappkontroll alls. I testerna samlade filläsningen in SSH-nycklar, .env-filer, npm-tokens och hosts-filen, med en indexfil från macOS Finder som karta över disken mapp för mapp.
Två leverantörer avvisade samma rapport
Det som betyder mest för den som kör de här verktygen är redovisningen av rapporteringen. Forever rapporterade Claude Desktop-problemet till Anthropic den 23 juli och säger att Anthropic avvisade det som ogiltigt med hänvisning till gränsen Workspace Trust. Noma Security rapporterade samma typ av problem den 24 juli, och enligt Forever godtog Anthropic den rapporten som giltig.
Microsoft fick veta om VS Code den 10 september och avvisade enligt studien rapporten som ogiltig med hänvisning till samma Workspace Trust-gräns. OpenAI tog emot Codex-rapporten den 27 juli och hade inte svarat vid publiceringen. Cursor fick veta den 10 september och lappade tyst den 1 oktober, tre veckor senare, utan att svara forskarna. GitHub rättade Copilots adressfältsfel i version 1.1.29 den 13 oktober, på eget initiativ, innan någon rapport lämnats in.
Förtroendefrågan är den omtvistade gränsen
Båda avvisandena vilar på Workspace Trust — rutan som frågar utvecklaren om hen litar på mappen som just öppnats. Weizmans argument är att rutan i praktiken inte ger något skydd alls, eftersom utvecklare klickar “Trust” för att verktyget över huvud taget ska gå att använda. Två leverantörer behandlar den klickningen som att användaren tar risken; studien behandlar den som en dialogruta ingen läser.
Meningsskiljaktigheten är inte akademisk. Den avgör om en lokal HTML-fil som läser SSH-nycklar ur en utvecklares hemkatalog är en sårbarhet eller ett förväntat beteende.
Vad som är värt att följa
Vid publiceringen var Codex och VS Code fortfarande olappade, vilket lämnar användarna av de två utsatta för filläsningsproblemet. Forevers rekommendationer till försvarare är att inventera vilka av dessa verktyg som är installerade, behandla en inbyggd webbläsare som en angreppsyta på slutpunkten snarare än en bekvämlighet, och sluta räkna användarens klick som en skyddsåtgärd. Den öppna frågan är om Microsoft och OpenAI ändrar hållning kring Workspace Trust, eller om gränsen håller och beteendet står kvar.
