セキュリティ

EMBRACE：Cursor、Copilot、Claude Desktop、VS Code、Codexの内蔵ブラウザ欠陥

Forever SecurityがAIツール5件の内蔵ブラウザの欠陥を報告。CursorとCopilotは修正済み、VS CodeとCodexは公開時点で未修正。

執筆： Audryk · 2026年10月30日

• コーディングエージェント
• AI IDE
• #Forever Security
• #EMBRACE
• #Cursor
• #GitHub Copilot
• #Claude Desktop
• #VS Code
• #Codex

2026年10月30日時点で、セキュリティ企業のForever Securityが、5つのAIコーディングツール(Cursor、GitHub Copilot、Claude Desktop、VS Code、Codex)の内蔵ブラウザに欠陥があると報告している。Foreverによれば、CursorとCopilotは修正済みで、VS CodeとCodexは公開時点で未修正だった。Claude Desktopについては、Foreverが報告した変種の状況は明記されておらず、近接する欠陥はNoma Labsによれば修正済みである。本記事は研究者の説明に基づいており、独自の検証はしていない。また、ほとんどのベンダーはコメントしていない。

要点

• 欠陥は3種類：Webページとエージェントの間のブリッジを介したコード実行、偽装されたアドレスバー、プロジェクトフォルダ外のローカルファイルの読み取り。
• 状況はツールごとに異なる：Foreverによれば、CursorとGitHub Copilotは修正済み。VS CodeとCodexは公開時点で未修正。Claude Desktopは、Foreverの変種については明記されていない。
• ベンダーが認めた事項：The Registerに対し「問題を認識しており、対応に取り組んでいる」と述べたOpenAIのみ。それ以外はすべてForeverの主張である。
• 取るべき対策：アップデートする。内蔵ブラウザで信頼できないページや未知のプロジェクトを開かない。マシン上の秘密情報を減らす。

本稿では欠陥の種類と状況のみを述べ、再現方法には一切触れない。ベンダーが確認した事項、研究者の主張、明記されていない事項を区別する。修正の状況は、この日付以降に変わる可能性がある。

EMBRACE研究で何が分かったか

AIセキュリティ企業のForever Securityは、2026年10月29日に研究結果を公開した。研究者のGal Weizmanは、これを「EMbedded BRowser, trusted like a real one」の略でEMBRACEと名付けた。中心となる考え方はこうだ。デスクトップのAIツールは、通常のブラウザにはない機能(エージェントへのブリッジ、ローカルファイルへのアクセス、独自のアドレスバー)を備えたブラウザを内蔵しており、それがWebの一般的な脅威モデルを崩している。確認した情報源には、CVE識別子への言及はない。

Foreverによれば、欠陥は3種類ある。

1. ページとエージェントのブリッジを介したコード実行(Cursor)。
2. アドレスバーの偽装(GitHub Copilot)。
3. ローカルHTMLページを介した、プロジェクトフォルダ外のローカルファイルの読み取り(Codex、VS Code、Claude Desktop)。Foreverによれば、同社のテスト環境では、SSH鍵、開発者トークン、環境ファイル、非公開文書の窃取につながり得た。

下のグラフは、Foreverが報告した各ツールの状況をまとめたものである。

出典：Forever Security、Help Net Security、The Register、Hackread。確認日：2026-10-30。状況はForeverの報告によるもので、ベンダーによる確認ではない。

影響を受けるツールと修正の状況

特記のない限り、以下はすべて「Foreverによれば」である。

• Cursor：内蔵ブラウザに読み込まれたページが、エージェントの入力欄に到達し、隠れた指示を挿入できた。テストではホスト上でコマンドが実行された。Help Net Securityは、この攻撃はモデルに依存し、毎回成功するわけではないと指摘している。9月10日に報告したが、CursorからForeverへの返答はなかった。Foreverは、この欠陥が10月1日に、セキュリティアドバイザリもバージョン番号もないまま静かに修正されたことを確認した。
• GitHub Copilot：ページが、別のページを読み込んでいる間にプレビューへ偽のアドレス(たとえば偽のサインインページ)を表示させることができた。テストしたバージョンは1.1.27で、9月26日に発見された。GitHubはForeverからの報告より前の10月13日に、バージョン1.1.29で修正した。
• Claude Desktop(Anthropic)：同じ種類のローカルファイル読み取り。Foreverは7月23日に報告したが、Anthropicは「Workspace Trust」のセキュリティ境界を理由に却下したと述べている。Foreverはさらに、別の企業Noma Securityが7月24日に「同じ欠陥」を報告し、Anthropicが有効と認めたと付け加えている。Foreverの投稿には、自社の変種が修正済みかどうかは明記されていない。
• Codex(OpenAI)：内蔵ブラウザにはプロジェクトフォルダへの制限がなく、ローカルページがファイルを直接読み取れた。7月27日に報告したが、Foreverは返答を受け取っておらず、公開時点で未修正。
• VS Code(Microsoft)：プロジェクトフォルダへの制限はページには及ぶが、そのバックグラウンドスクリプト(Webワーカー)には及ばない。9月10日に報告した。Foreverによれば、Microsoftは「Workspace Trust」を理由にこの報告を無効と分類した。公開時点で未修正。

これとは別に、Noma Labsは2026年10月14日に「SneakPeek」を公開した。Claude Codeデスクトップアプリ内のHTMLプレビューペインに存在する、近接した欠陥である。CSO Onlineが伝えたNomaの説明によれば、最初の修正は回避され、最終的な修正はClaude Desktop 1.30096.1以降(2026年8月17日)に含まれる。Anthropicが付けたCVSSスコアは8.7(高、v4.0)で、CVEは準備中である。Foreverはこれを自社の欠陥と同じものとして扱っているが、確認した情報源には、この修正がForeverの変種を対象にしているという裏付けがない。そのため、その変種については結論を出さない。

ベンダーが確認したことと、確認していないこと

確認した情報源では、ベンダーの見解として確認できるのは1件だけである。OpenAIの広報担当者がThe Registerに対し、同社は「問題を認識しており、対応に取り組んでいる」と述べた。The Registerの公開時点で、Cursor、GitHub、Microsoft、Anthropicからの返答はなかった。

それ以外はすべて研究者の説明である。報告日、返答がなかったこと、「未修正」という状況、Workspace Trustを理由に却下されたとされる報告がこれにあたる。これらは報告された立場であり、ベンダーに関する調査結果ではない。Nomaの報告日も、説明によって異なる。Foreverによれば7月24日、報道で伝えられたNomaの説明では7月4日である。どちらが正しいかは判断しない。

内蔵ブラウザが通常のブラウザより危険な理由

通常のブラウザは、Webページを信頼できないものとして扱う。ページは、マシンの他の部分にアクセスできない閉じた空間で動く。AIツールの内蔵ブラウザは、マシン上で動作でき、ローカルファイルに到達でき、独自のアドレスバーを表示するエージェントの隣にある。ページとそれらの機能の間の境界が弱ければ、ページは本来より広い権限を得る。一般論として、プロジェクトフォルダへの制限はページには適用されても、ページが起動できるすべてのものには及ばないことがある。

Foreverのより広い指摘は、プロジェクトを信頼するかどうかを尋ねるWorkspace Trustに関するものだ。研究者は、開発者が作業のために「信頼」をクリックしてしまうため、実際にはほとんど何も守れていないと述べている。これはForeverの評価であり、ベンダーの見解ではない。より広い文脈については、AIが生成するコードのセキュリティに関する記事を参照してほしい。

報告はどれくらい未解決のままか

グラフは、報告から修正までの日数、または欠陥が未修正だった場合は報告から10月29日までの日数を示している。この日数は、Foreverが報告した日付から算出したもので、ベンダーが公表したものではない。

出典：Forever Securityが報告した日付からの算出。確認日：2026-10-30。

Cursorは報告から修正まで21日、Copilotは発見から修正まで17日(報告はなし)だった。VS Codeは49日、Codexは94日で、どちらも10月29日時点で未解決である。Claude DesktopはForeverの報告から98日で、状況は明記されていない。これらの日数の背景にある理由は分からない。

影響を受ける開発者はどれくらいか

以下の数字はForeverによる推定で、Hackreadが引用している。VS Codeの利用者は約4,000万人で、Codexの週間利用者は500万人を超える。Foreverは、影響を受け得る利用者を「数億人」と述べている。これらは導入規模の推定であり、被害を受けたマシンの数ではない。

今すぐ取るべき対策

• アップデートする。 GitHub Copilotは1.1.29以降。Cursorは最新版(10月1日に修正、バージョンは非公開)。Claude Desktopは1.30096.1以降(Nomaによる、SneakPeekの修正バージョン)。再起動後にバージョンを確認する。
• VS CodeとCodex(公開時点で未修正)。 内蔵ブラウザで、信頼できないHTMLページや未知のプロジェクトを開かない。習慣でプロジェクトを信頼済みにせず、信頼済みプロジェクトの一覧を見直す(Foreverの助言。Help Net Securityが伝えている)。
• 露出するものを減らす。 範囲を絞った短命のトークンを使い、開発マシン上に長期間有効な鍵や秘密情報を置かない。これは一般的な衛生管理であり、EMBRACEに限った話ではない。
• 組織向け。 これらのツールが作業端末にあるかを把握し、内蔵ブラウザまわりの統制を見直す(Foreverの助言。Hackreadによる)。

ツールのページ：Cursor、GitHub Copilot、Claude Code、Codex。

比較表

よくある質問

影響を受けるツールは?

Forever Securityは、Cursor、GitHub Copilot、Claude Desktop、VS Code、Codexの内蔵ブラウザに欠陥があると報告している。欠陥は3種類で、状況はそれぞれ異なる。

欠陥は修正されたか?

Foreverによれば、Cursor(10月1日)とGitHub Copilot(10月13日)は修正済みで、VS CodeとCodexは公開時点で未修正だった。Claude Desktopについては、Foreverの変種の状況は明記されておらず、近接する欠陥の修正は、Nomaによれば1.30096.1に含まれる。

コマンドライン版のClaude Codeは影響を受けるか?

Foreverがこれをテストしたという報告はない。研究の対象は、デスクトップアプリケーションの内蔵ブラウザである。だからといってコマンドライン版が安全だということにはならない。確認した情報源では調査されていない。

VS CodeやCodexを使っている場合は?

内蔵ブラウザで信頼できないHTMLページや未知のプロジェクトを開かない。習慣でプロジェクトを信頼済みにしない。可能な限り、長期間有効な秘密情報をマシンに置かない。ベンダーのアップデートにも注意する。

方法と限界

本記事は、2026年10月29日のForever Securityの説明に基づいており、Help Net Security、The Register、Hackread、CSO Onlineが伝えた内容を独自には検証していない。OpenAIがThe Registerに述べた声明を除き、日付、返答、状況は研究者の主張である。The Registerが取材したベンダー(Cursor、GitHub、Microsoft、Anthropic)は、公開時点で返答していなかった。Noma Labsのページは直接読み直していない。日数は当方の算出である。これは特定の環境に向けたセキュリティ助言ではなく、修正の状況はその後に変わっている可能性がある。

出典

• Forever Security: EMBRACE, hacking 5 AI assistants' embedded browsers (technical)（確認日：2026-10-30）
• Help Net Security: research on AI assistant browser vulnerabilities（確認日：2026-10-30）
• The Register: researchers find bugs in 5 AI developer tools, with OpenAI and Microsoft flaws still unpatched（確認日：2026-10-30）
• Hackread: EMBRACE flaws in AI coding tools（確認日：2026-10-30）
• CSO Online: Claude Code's 256KB blind spot (SneakPeek, Noma)（確認日：2026-10-30）
• Noma Labs: SneakPeek(報道で引用されたもので、直接は読み直していない)

この記事の誤りに気づかれましたか？ 報告する · 訂正ポリシー