محققان امنیتی به آسیب‌پذیری‌های جدی در مرورگرهای داخلی (Embedded Browsers) ابزارهای محبوب برنامه‌نویسی مبتنی بر هوش مصنوعی از جمله Cursor، GitHub Copilot، Codex، VS Code و Claude Desktop دست یافته‌اند. این نقص‌های امنیتی می‌توانند منجر به اجرای کد (RCE)، سرقت فایل‌ها و جعل نوار آدرس (Address-bar spoofing) در سیستم‌های توسعه‌دهندگان شوند.
کلاس حمله EMBRACE
این یافته‌ها نشان می‌دهند که چگونه ویژگی‌های مرورگر که در دستیاران هوش مصنوعی تعبیه شده‌اند، می‌توانند با دسترسی‌های اضافی به اپلیکیشن میزبان، مرزهای امنیتی را از بین ببرند. محققان این نوع حملات را EMBRACE نامیده‌اند؛ اصطلاحی که مخفف “یک مرورگر داخلی که مانند یک مرورگر واقعی مورد اعتماد قرار گرفته” است. این آسیب‌پذیری‌ها ریشه در یک مشکل طراحی مشترک دارند: ویژگی‌هایی که برای پیش‌نمایش پروژه‌ها یا خواندن صفحات طراحی شده‌اند، به محتوای غیرقابل اعتماد (Untrusted Content) قدرت‌های فراتر از حد مجاز می‌دهند.
جزئیات آسیب‌پذیری‌ها در ابزارهای مختلف
- Cursor: این ابزار از طریق یک پل ارتباطی (Bridge) به نام
window.cursorBrowser.send()، اجازه می‌داد هر صفحه بارگذاری شده بدون نیاز به تعامل کاربر، دستوراتی را به بخش Instruction box ارسال کند. مهاجمان می‌توانستند با پنهان کردن دستورات در ویژگی‌های HTML، دستوراتی مانند نصب بسته‌های مخرب npm را اجرا کنند. (این نقص در تاریخ ۱ اکتبر اصلاح شده است). - GitHub Copilot: در بخش پیش‌نمایش مرورگر، امکان جعل آدرس (Address Spoofing) وجود داشت. مهاجم می‌توانست یک صفحه جعلی را طوری نمایش دهد که در نوار آدرس، آدرس معتبری مانند
github.com/loginنشان داده شود، که این امر منجر به فریب کاربر و دستیار هوش مصنوعی می‌شد. (این نقص در نسخه 1.1.29 اصلاح شده است). - Claude Desktop و VS Code: این ابزارها در محدود کردن دسترسی به فایل‌ها در صفحات اصلی موفق بودند، اما در کنترل Web Workers (اسکریپت‌های پس‌زمینه) دچار ضعف بودند. این نقص اجازه می‌دهد یک پیش‌نمایش مخرب، فایل‌های خارج از پوشه پروژه را بخواند.
- Codex: محققان دریافتند که صفحات محلی در Codex می‌توانند مستقیماً فایل‌های دیگر را در سیستم فراخوانی کنند. در سیستم‌عامل macOS، مهاجمان می‌توانستند با استفاده از متادیتای
DS_Store، نام فایل‌ها را کشف کرده و فایل‌های حساس مانند کلیدهای SSH، فایل‌های.envو توکن‌های npm را سرقت کنند.
وضعیت اصلاح (Patch Status)
در حالی که Cursor و GitHub Copilot با انتشار وصله‌های امنیتی اصلاح شده‌اند، ابزارهای Codex و VS Code همچنان در برابر برخی از این حملات آسیب‌پذیر هستند. شرکت Anthropic نیز پس از بررسی اولیه، موضوع مربوط به Claude را پذیرفته است، اما وضعیت دقیق وصله امنیتی آن مشخص نیست.
