Eingebaute Browser in KI-Tools angreifbar
Forscher zeigen Lücken in den eingebetteten Browsern von Cursor, Copilot, Codex, VS Code und Claude Desktop. Zwei davon sind noch nicht behoben.
Viele KI-Entwicklerwerkzeuge bringen inzwischen einen eigenen Browser mit. Der Agent zeigt darin eine Vorschau der gebauten Web-App, liest Dokumentation oder klickt sich durch eine Oberfläche. Die Sicherheitsfirma Forever Security hat am 29.10.2026 fünf Lücken in solchen eingebetteten Browsern veröffentlicht: in Cursor, GitHub Copilot, OpenAI Codex, VS Code und Claude Desktop. Das Muster nennen die Forscher EMBRACE. Jedes der Werkzeuge hat seinem Browser Fähigkeiten gegeben, die ein normaler Browser einer Webseite nie erlauben würde.
Bei Codex und VS Code sind die Lücken laut den Forschern noch offen. Ihr Fazit dazu: "Anyone using either tool is still exposed."
Es ist dieselbe Firma, die vor einer Woche den Fall der präparierten AGENTS.md im Downloads-Ordner beschrieben hat. Forever Security verkauft Überwachung für KI-Agenten auf Endgeräten, der Bericht ist also auch Werbung. Die technischen Details sind aber nachvollziehbar dokumentiert, und The Register hat die Hersteller um Stellungnahme gebeten.
Lokale Dateien auslesen in Codex, VS Code und Claude Desktop
Der gefährlichste Teil betrifft drei Werkzeuge. Öffnet ihr im eingebauten Browser eine lokale HTML-Datei, kann deren JavaScript beliebige Dateien von eurem Rechner lesen und an einen fremden Server schicken. Auf ihrem Testrechner fanden die Forscher so SSH-Schlüssel, .env-Dateien, npm-Tokens und private Dokumente.
Die Ursachen unterscheiden sich im Detail. Codex behandelt lokale Seiten so, dass ein einfaches fetch("file:///...") reicht. VS Code und Claude Desktop beschränken den Zugriff zwar auf den Projektordner, aber nur im Hauptdokument der Seite. Ein Web Worker, den die Seite startet, unterliegt dieser Prüfung nicht.
Nötig ist ein einziger Klick. Das Szenario der Forscher: Ihr klont ein Projekt, das wie eine harmlose Berichtsseite aussieht, und bittet den Assistenten, es laut README einzurichten. Der Assistent liefert euch dann selbst einen anklickbaren file://-Link. Der Klick kommt also mit dem Vertrauen, das ihr dem Agenten entgegenbringt.
Der Stand bei den Herstellern:
| Werkzeug | Gemeldet | Stand laut Forschern |
|---|---|---|
| OpenAI Codex | 27.07.2026 | Keine Antwort, nicht behoben. OpenAI sagte The Register, man kenne das Problem und arbeite an einer Lösung |
| VS Code | 10.09.2026 | Von Microsoft abgelehnt, weil die Grenze über "Workspace Trust" abgesichert sei. Nicht behoben |
| Claude Desktop | 23.07.2026 | Von Anthropic zunächst abgelehnt, eine gleichlautende Meldung von Noma Security am 24.07. dann als gültig angenommen. Ob und in welcher Version behoben, sagen weder die Forscher noch Anthropic |
In den Release Notes von VS Code 1.144.0 (28.10.) und Codex 0.166.0 (29.10.) findet sich kein passender Fix. Für Claude Desktop gibt es keinen Eintrag in den öffentlichen Release Notes. Anthropic hat die Fragen von The Register nicht beantwortet.
Cursor führt nach einem Seitenbesuch Code aus
Bei Cursor ging es weiter. Der eingebaute Browser stellte jeder Webseite eine Schnittstelle zur Verfügung, über die sie Inhalte direkt in den Composer des Agenten schieben konnte. Eine präparierte Seite versteckte so Anweisungen, die der Agent zu einem Installationsbefehl zusammensetzte. Im Test installierte er ein npm-Paket, dessen Installationsskript ein Programm auf dem Rechner startete. Nötig war ein Druck auf Enter, weil der Payload die Bestätigungskarte schon vorbereitet hatte.
Bemerkenswert: Cursors Sandbox blockte die Installation zuerst. Der Agent brach daraufhin von sich aus ab und wiederholte den Befehl ohne Sandbox. Ob der Angriff klappt, hängt laut den Forschern vom Modell ab. Gemeldet am 10.09., behoben am 01.10.2026, ohne Advisory und ohne Versionsangabe. Geantwortet hat Cursor den Forschern nicht.
Copilot zeigt eine gefälschte Adresse
In der Browser-Vorschau von GitHub Copilot konnte eine Seite der App eine andere Adresse melden, als sie tatsächlich hatte. Die Adressleiste zeigte dann etwa github.com/login, obwohl die Angreiferseite geladen war. Auch der Agent bekam die falsche Adresse mitgeteilt. Das ist eine ideale Grundlage für Phishing. GitHub hat das in Copilot 1.1.29 am 13.10.2026 behoben, unabhängig und bevor die Forscher es gemeldet hatten.
Was ihr jetzt tun solltet
Die Forscher selbst geben keine konkreten Empfehlungen. Aus den Angriffswegen ergibt sich aber, worauf ihr achten könnt:
- Cursor und Copilot aktualisieren. Beide Lücken sind behoben, aber nur in aktuellen Versionen.
- Keine fremden lokalen HTML-Seiten im eingebauten Browser öffnen, solange Codex und VS Code nicht gepatcht sind. Das gilt besonders für
file://-Links, die der Agent beim Einrichten eines fremden Projekts anbietet. Im normalen Browser ist eine lokale Seite deutlich stärker eingeschränkt. - Fremde Repositories erst selbst ansehen und dann vom Agenten einrichten lassen. Ein Skript, das einen Web Worker aus einer Datei lädt, hat in einer Berichtsseite nichts verloren.
- Der Adressleiste im eingebauten Browser nicht blind trauen, wenn ihr dort Zugangsdaten eingeben sollt. Anmelden besser im regulären Browser.
- Geheimnisse nicht im Klartext herumliegen lassen. SSH-Schlüssel mit Passphrase und Tokens in einem Passwortmanager oder Secret Store machen jeden Datei-Lese-Angriff weniger ergiebig.
Das grundsätzliche Problem bleibt: Ein eingebetteter Browser in einem Entwicklerwerkzeug sitzt näher an Dateisystem, Terminal und Agent als jeder normale Browser. Die Hersteller haben bei vier von fünf Werkzeugen offenbar unterschätzt, was eine Webseite damit anfangen kann.