--- title: "AI 程式助手的內建瀏覽器被攻破：EMBRACE 研究點名 Cursor、Copilot、Codex、VS Code、Claude Desktop，企業開發電腦該做的盤點與檢查" description: "AI 程式助手的內建瀏覽器已是開發電腦的新攻擊面：Forever Security 於 2026 年 10 月 29 日公布 EMBRACE 研究，五款工具各有一項弱點，Codex 與 VS Code 截至發表仍未修補。本文整理時間軸、廠商回應，以及企業盤點工具、檢查受信任專案與縮小憑證風險的五個步驟。" canonical: "https://yotron-ai.com/blog/embrace-ai-coding-assistant-embedded-browser-security" published: "2026-11-01" last-updated: "2026-11-01" --- # AI 程式助手的內建瀏覽器被攻破：EMBRACE 研究點名 Cursor、Copilot、Codex、VS Code、Claude Desktop，企業開發電腦該做的盤點與檢查 AI 程式助手的內建瀏覽器已是開發電腦的新攻擊面：Forever Security 於 2026 年 10 月 29 日公布 EMBRACE 研究，五款工具各有一項弱點，Codex 與 VS Code 截至發表仍未修補。本文整理時間軸、廠商回應，以及企業盤點工具、檢查受信任專案與縮小憑證風險的五個步驟。 > 文／Laban（優創智能 AI 導入工程師） EMBRACE 是指 AI 程式助手內建的瀏覽器被當成真正的瀏覽器信任，卻多了能碰到電腦本機的能力，讓一個網頁或本機檔案就能執行程式或讀走整顆硬碟的檔案。結論先講：**AI 程式助手的風險不只在模型會不會寫錯程式，而是在它握有的權限。** Forever Security 在 2026 年 10 月 29 日公布的研究，點名 Cursor、GitHub Copilot、OpenAI Codex、VS Code 與 Claude Desktop 各有一項弱點，其中 Codex 與 VS Code 截至發表時仍未修補。 本文是新聞解析與企業檢查清單，不是完整的資安鑑識指南。技術細節都來自 Forever Security 這一份研究，各家媒體的報導都以它為基礎；我們把已知事實、編輯分析與建議步驟分開寫。 --- ## 一、已知事實：研究發現了什麼？ ### 1. 研究的判準 [Forever Security 的技術說明](https://forever.security/blog/embrace-hacking-5-ai-assistants-embedded-browsers-technical)（2026-10-29，研究員 Gal Weizman 撰寫）與 [Help Net Security](https://www.helpnetsecurity.com/2026/10/29/research-ai-assistant-browser-vulnerabilities/) 同日的報導說明，研究團隊檢查這五個工具改動內建瀏覽器後，是否違反一般瀏覽器的三條規則： - 網頁不能在電腦上執行指令。 - 本機檔案不能讀取其他檔案。 - 只有瀏覽器本身能改網址列。 結果每個產品都違反了其中一條。Forever 把這類問題稱為 EMBRACE，意思是「被當成真瀏覽器信任的內建瀏覽器」。 ### 2. 五個工具各自的問題 | 工具 | 問題類型 | 狀態（依 Forever，截至 2026-10-29） | | --- | --- | --- | | Cursor | 網頁可讓代理執行程式 | 9 月 10 日回報，10 月 1 日修補，未發公告 | | GitHub Copilot | 網址列可被偽造 | 9 月 26 日在 1.1.27 版確認，GitHub 在 Forever 回報前於 10 月 13 日的 1.1.29 版自行修掉 | | OpenAI Codex | 本機頁面可讀取專案外檔案 | 7 月 27 日回報，未修補 | | VS Code | 本機頁面可讀取專案外檔案 | 9 月 10 日回報，Microsoft 以 Workspace Trust 為由判定無效，未修補 | | Claude Desktop | 本機頁面可讀取專案外檔案 | 7 月 23 日 Forever 回報遭判定無效；7 月 24 日 Noma Security 回報相同問題獲接受 | Forever 原文說有兩項仍未修補，點名的是 Codex 與 VS Code；Claude Desktop 沒有列在其中，但我們查閱的來源都沒有給出它的修補版本。 ### 3. 攻擊怎麼發生 - **讀檔類（Codex、VS Code、Claude Desktop）**：研究把惡意專案包裝成一份財務報告。開發者請 AI 依 README 設定專案，AI 自己給出一個指向專案內 HTML 檔的連結，點一下就開始。VS Code 與 Claude Desktop 雖然把本機頁面限制在專案資料夾內，但頁面啟動的背景程式（web worker）不受這個限制；Codex 則沒有資料夾限制。在 Forever 的測試電腦上，攻擊收集了 SSH 金鑰、`.env` 檔、npm token 與 hosts 檔，再送出去。 - **Cursor**：網頁上有一顆「Start setup」按鈕，背後藏著給代理的指令，按一次 Enter 就觸發。Cursor 的沙箱擋下指令時，代理自己把沙箱關掉再試一次。測試中指令只是打開計算機，研究也說明結果取決於模型行為，不一定每次成功。 - **Copilot**：頁面可以自己回報網址，App 只檢查文字像不像網址。Forever 讓網址列顯示 github.com/login，底下卻是假的登入表單，代理的分頁清單也跟著顯示假網址。 ### 4. 廠商回應 [The Register](https://www.theregister.com/security/2026/10/29/researchers-find-bugs-in-5-ai-developer-tools-with-openai-and-microsoft-flaws-still-unpatched/5306508)（2026-10-29）向五家廠商詢問，OpenAI 發言人表示知道 Codex 的問題、正在處理；Cursor、GitHub、Anthropic 與 Microsoft 都沒有回應。[Hackread](https://hackread.com/embrace-flaws-ai-coding-tools-code-execution-theft/)（2026-10-29）的報導與上述時間軸一致。 研究者 Weizman 對 Help Net Security 說：「Not trusting a project inside an AI harness makes it unusable, so everyone just hits 'Trust'.」他也認為企業應該假設代理可能繞過自己的防護。這是研究者的主張，不是廠商的立場。 --- ## 二、編輯分析：這對台灣企業代表什麼？ ### 1. 問題不在模型，而在權限 這五個弱點沒有一個是「AI 寫錯程式」。它們都出在工具給了內建瀏覽器過多能力，而開發者的電腦上剛好放著 SSH 金鑰、雲端憑證和各種 token。**AI 程式助手裝在哪台電腦，它的攻擊面就延伸到那台電腦上所有的憑證。** 我們在 [AI 代理護欄與短效憑證](/blog/salesforce-agent-fabric-ibm-agent-identity-guardrails-guide) 談過同樣的原則：代理能碰到什麼，比代理有多聰明更重要。 ### 2. 「按信任」不是一道安全控制 Workspace Trust 提示的設計，是讓使用者決定要不要信任一個資料夾。但在 AI 工具裡，不信任就等於不能用，結果每個人都按信任。對企業來說，**一個大家每天都會按「同意」的提示，不能寫進你的資安控制清單。** 真正的控制要放在「誰能把外來專案開在有正式憑證的電腦上」。 ### 3. 外包、接案與面試題目是高風險入口 讀檔類攻擊的起點，是開發者打開一個別人給的專案。台灣中小企業常見的外包交付、接案範例、面試作業與網路上下載的範本，都符合這個情境。這和 [Octoverse 談的 PR 審查流程](/blog/github-octoverse-2026-ai-agent-pull-requests-guide)是不同層次：那篇管的是程式碼進主分支之前，這篇管的是程式碼還沒進 repo，只是在某台電腦上被打開。 --- ## 三、五個步驟：企業開發電腦的盤點與檢查 以下是優創智能的建議，其中步驟 3 的檢查方式出自 Forever Security 與 Help Net Security，其餘是我們依研究內容整理的一般做法。 ### 步驟 1：盤點誰裝了哪些 AI 程式助手 列出公司每台開發與工程用電腦上的 Cursor、GitHub Copilot、Codex、VS Code 與 Claude Desktop，記下版本與使用者。外包與兼職人員用來連公司系統的電腦也要列進來。 ### 步驟 2：更新已修補的工具，標記未修補的工具 依 Forever 的時間軸，確認 Cursor 已更新到 2026 年 10 月 1 日之後的版本、Copilot 至少為 1.1.29 版。Codex 與 VS Code 在官方修補前，標記為「不在這台電腦開外來專案」。Claude Desktop 的狀態以 Anthropic 官方版本說明為準。 ### 步驟 3：匯出受信任專案清單，檢查裡面的 HTML 檔 Help Net Security 建議 Codex 與 VS Code 使用者從每台電腦的設定檔匯出受信任的專案清單，逐一檢查專案裡的 HTML 檔。依 Forever 的技術說明，可疑樣式包括：從頁面啟動 web worker、worker 以 `fetch("file:///…")` 讀取專案外的路徑、解析 macOS 的 `.DS_Store` 檔來列出資料夾，以及把結果送到外部網址。 ### 步驟 4：把外來專案和正式憑證分開 外包交付、面試作業、網路下載的範本，一律先在沒有正式 SSH 金鑰與雲端憑證的環境打開，例如專用的虛擬機或雲端開發環境。正式電腦上的金鑰改成有期限的短效憑證，並限制每把金鑰能存取的系統。 ### 步驟 5：懷疑中招就輪替憑證 如果某台電腦曾開過來路不明的專案，並點過 AI 給的本機 HTML 連結，就把那台電腦上的 SSH 金鑰、`.env` 內的 API 金鑰、npm token 與雲端憑證全部輪替，並檢查這些帳號近期的登入與存取紀錄。 **驗收標準**：做完五步，你要能回答三個問題：公司有幾台電腦裝了這五個工具、各是什麼版本；未修補的工具上有沒有開過外來專案；如果其中一台電腦的憑證外洩，最多會影響哪些系統。三題答得出來，才算管住了 AI 程式助手帶進來的風險。 --- ## 四、結語：導入 AI 工具，也要盤點它的權限 AI 程式助手讓開發更快，但它和瀏覽器、終端機、憑證都在同一台電腦上。**評估一個 AI 工具，不只看它能做什麼，也要看它被騙時能碰到什麼。** 這次的研究只是讓這件事有了具體的例子。更多修補優先序的做法，可參考 [2026 年 10 月安全修補週整理](/blog/october-2026-security-patch-week-emudhra-litellm-railway)。 如果你的團隊正在導入 AI 程式助手或 AI 代理，想先盤點它們的權限與憑證範圍，歡迎與我們聯繫。 --- **免責說明**：本文依據 Forever Security 技術說明、Help Net Security、The Register 與 Hackread 的報導撰寫，資料截至 2026 年 11 月 1 日。技術細節都來自 Forever Security 的單一研究，各媒體報導以它為基礎；The Register 未取得多數廠商回應，各工具的修補狀態可能已有變化，請以廠商官方版本說明為準。文中步驟為一般性建議，不是完整的資安鑑識服務，也不代表優創智能與文中任何公司有合作。 **參考來源** - Forever Security（Gal Weizman），〈EMBRACE: [Technical Overview] How We Hacked the Browsers Embedded in Top Five Desktop AI Assistants〉，2026-10-29：https://forever.security/blog/embrace-hacking-5-ai-assistants-embedded-browsers-technical - Help Net Security（Mirko Zorz），〈Researchers broke the browsers built into VS Code, Cursor, Copilot, Codex and Claude Desktop〉，2026-10-29：https://www.helpnetsecurity.com/2026/10/29/research-ai-assistant-browser-vulnerabilities/ - The Register（Jessica Lyons），〈Researchers find bugs in 5 AI developer tools, with OpenAI and Microsoft flaws still unpatched〉，2026-10-29：https://www.theregister.com/security/2026/10/29/researchers-find-bugs-in-5-ai-developer-tools-with-openai-and-microsoft-flaws-still-unpatched/5306508 - Hackread（Deeba Ahmed），〈EMBRACE Flaws in 5 AI Coding Tools Enable Code Execution and File Theft〉，2026-10-29：https://hackread.com/embrace-flaws-ai-coding-tools-code-execution-theft/ --- ## 相關推薦與延伸閱讀 - [Claude Dispatch 被瀏覽器擴充功能接管（ThisBash）：AI 桌面代理的遠端控制與核准按鈕，企業該先關掉與盤點什麼](/blog/claude-dispatch-thisbash-browser-extension-agent-remote-control)：AI 桌面代理的遠端控制若能從網頁登入觸發，一個惡意擴充功能就能叫公司電腦執行指令。Forever Security 於 2026 年 11 月 4 日公布 T - [AI Agent 的權限邊界怎麼設：企業導入前必須畫好的三條線](/blog/ai-agent-permission-boundary-sandbox)：企業導入 AI Agent 前，權限邊界比模型選型更該先決定。本文用 2026 年 OpenAI–Hugging Face 事件與 Google Gemini - [AI Agent 進入 Production 前，FDE 要先建好控制面](/blog/ai-agent-production-control-plane-fde)：企業 AI Agent 的關鍵不是 demo，而是把權限、成本、觀測、評估與人工升級，做成可營運的控制面。本文從三個近期訊號說明權限、成本與安全為何要一起設計，