Przeglądarka w Cursorze uruchomiła kalkulator na polecenie strony. Raport EMBRACE pokazuje, jak to możliwe

Badacze z Forever Security otworzyli w przeglądarce wbudowanej w Cursor stronę, która wyglądała niewinnie, a chwilę później na komputerze uruchomił się kalkulator. Strona po cichu podsunęła agentowi Cursora polecenie instalacji paczki npm, a użytkownikowi wystarczyło raz nacisnąć Enter, żeby je zatwierdzić. Resztę zrobił skrypt instalacyjny tej paczki (Cyber Security News). Kalkulator to w tej branży umowny dowód: skoro strona odpaliła jeden program, mogła odpalić dowolny.

Narzędzia do programowania z AI mają dziś własne okienko przeglądarki, żeby agent mógł obejrzeć podgląd aplikacji, przeczytać stronę albo śledzić otwarte karty. Raport opublikowany 29 października sprawdza, co się dzieje, gdy takie okienko dostaje więcej uprawnień niż zwykły Chrome. Badacze wzięli pod lupę pięć produktów: Cursor, GitHub Copilot, Codex od OpenAI, VS Code od Microsoftu i Claude Desktop od Anthropica. W każdym coś znaleźli, a całą rodzinę błędów nazwali EMBRACE, od angielskiego określenia przeglądarki osadzonej w aplikacji (The Register).

Nie czytam tego jako pięciu niezależnych wpadek. Gal Weizman, badacz Forever Security i autor raportu, pisze, że każde narzędzie "wzbogaciło swoją przeglądarkę ponad to, na co pozwala zwykła przeglądarka, a te dodatki podkopały tradycyjny model zagrożeń" (The Register). Mówiąc prościej, zwykła przeglądarka pilnuje trzech zasad: strona nie uruchamia programów na komputerze, lokalny plik nie czyta innych plików, a pasek adresu pokazuje adres, pod którym naprawdę jesteś. Każdy z pięciu produktów złamał jedną z nich, żeby agentowi było wygodniej.