보안

EMBRACE: Cursor, GitHub Copilot, Claude Desktop, VS Code, Codex 내장 브라우저의 결함

Forever Security가 AI 도구 5종의 내장 브라우저 결함을 보고했다. Cursor와 Copilot은 수정되었고 VS Code와 Codex는 게재 시점에 미수정이었다.

작성: Audryk · 2026년 10월 30일

• 코딩 에이전트
• AI IDE
• #Forever Security
• #EMBRACE
• #Cursor
• #GitHub Copilot
• #Claude Desktop
• #VS Code
• #Codex

2026년 10월 30일 현재, 보안 업체 Forever Security는 AI 코딩 도구 5종인 Cursor, GitHub Copilot, Claude Desktop, VS Code, Codex의 내장 브라우저에서 결함을 발견했다고 보고했다. Forever에 따르면 Cursor와 Copilot은 수정되었고, VS Code와 Codex는 게재 시점에 수정되지 않았다. Claude Desktop은 Forever가 제시한 변형의 상태가 명시되지 않았으며, Noma Labs에 따르면 인접한 결함은 수정되었다. 이 글은 우리가 독자적으로 검증하지 못한 연구자의 설명에 근거하며, 대부분의 공급업체는 입장을 내놓지 않았다.

핵심 요약

• 결함 세 가지 유형: 웹 페이지와 에이전트 사이의 브리지를 통한 코드 실행, 주소 표시줄 위조, 프로젝트 폴더 밖 로컬 파일 읽기.
• 상태는 제각각이다: Forever에 따르면 Cursor와 GitHub Copilot은 수정되었고, VS Code와 Codex는 게재 시점에 수정되지 않았으며, Claude Desktop은 Forever가 제시한 변형의 상태가 명시되지 않았다.
• 공급업체가 확인한 것: The Register에 "aware of the issue and working to address it"라고 밝힌 OpenAI뿐이다. 나머지는 모두 Forever의 주장이다.
• 해야 할 일: 업데이트하고, 내장 브라우저에서 신뢰할 수 없는 페이지와 낯선 프로젝트를 피하며, 기기에 둔 시크릿을 줄인다.

우리는 결함의 유형과 상태만 설명하며, 어떤 것도 재현하는 방법은 다루지 않는다. 공급업체가 확인한 것, 연구자가 주장한 것, 명시되지 않은 것을 구분한다. 수정 상황은 이 날짜 이후 바뀔 수 있다.

EMBRACE 연구가 밝힌 것은?

AI 보안 기업 Forever Security는 2026년 10월 29일 연구 결과를 공개했다. 연구자 Gal Weizman은 이를 "EMbedded BRowser, trusted like a real one"의 약자인 EMBRACE로 명명했다. 핵심 아이디어는 이렇다. 데스크톱 AI 도구는 일반 브라우저에는 없는 기능(에이전트로 이어지는 브리지, 로컬 파일 접근, 자체 주소 표시줄)을 갖춘 브라우저를 내장하고 있어, 웹의 일반적인 위협 모델이 깨진다. 우리가 읽은 출처에는 CVE 식별자가 언급되지 않는다.

Forever에 따르면 결함은 세 가지 유형이다.

1. 페이지와 에이전트 사이의 브리지를 통한 코드 실행 (Cursor).
2. 주소 표시줄 위조 (GitHub Copilot).
3. 로컬 HTML 페이지를 통한 프로젝트 폴더 밖 로컬 파일 읽기 (Codex, VS Code, Claude Desktop). Forever에 따르면 테스트 기기에서 이는 SSH 키, 개발자 토큰, 환경 파일, 비공개 문서의 탈취로 이어질 수 있었다.

아래 차트는 Forever가 보고한 도구별 상태를 요약한다.

출처: Forever Security, Help Net Security, The Register, Hackread, 확인일: 2026-10-30. 상태는 Forever가 보고한 것이며 공급업체가 확인한 것이 아니다.

어떤 도구가 영향을 받고, 수정은 어디까지 진행되었나?

아래 내용은 별도 표기가 없으면 모두 "Forever에 따르면"이다.

• Cursor: 내장 브라우저에 로드된 페이지가 에이전트의 입력창에 접근해 숨겨진 지시를 삽입할 수 있었다. 테스트에서는 호스트에서 명령이 실행되었다. Help Net Security는 이 공격이 모델에 따라 달라서 시도할 때마다 통하는 것은 아니라고 지적한다. 9월 10일에 보고되었으며 Cursor는 Forever에 답하지 않았다. Forever는 보안 권고도 버전 번호도 없이 10월 1일에 결함이 조용히 수정된 것을 확인했다.
• GitHub Copilot: 다른 페이지가 로드된 상태에서도 페이지가 미리보기에 거짓 주소(예를 들어 가짜 로그인 페이지)를 표시하게 만들 수 있었다. 테스트한 버전은 1.1.27이며 9월 26일에 발견되었다. GitHub는 Forever의 보고가 오기 전인 10월 13일 버전 1.1.29에서 이를 수정했다.
• Claude Desktop (Anthropic): 같은 유형의 로컬 파일 읽기다. Forever는 7월 23일에 보고했으나 Anthropic이 "Workspace Trust" 보안 경계를 이유로 거부했다고 밝혔다. Forever는 또 다른 회사인 Noma Security가 7월 24일 "같은 결함"을 보고했고 Anthropic이 이를 유효하다고 인정했다고 덧붙인다. Forever의 글은 자신들이 제시한 변형이 수정되었는지는 명시하지 않는다.
• Codex (OpenAI): 내장 브라우저에 프로젝트 폴더 제한이 없어서 로컬 페이지가 파일을 직접 읽을 수 있었다. 7월 27일에 보고되었고 Forever는 답을 받지 못했으며, 게재 시점에 수정되지 않았다.
• VS Code (Microsoft): 프로젝트 폴더 제한은 페이지에는 적용되지만 그 백그라운드 스크립트(웹 워커)에는 적용되지 않는다. 9월 10일에 보고되었으며, Forever에 따르면 Microsoft는 "Workspace Trust" 기준으로 이 보고를 무효로 분류했고, 게재 시점에 수정되지 않았다.

이와 별개로 Noma Labs는 2026년 10월 14일 Claude Code 데스크톱 앱의 HTML 미리보기 창에 있는 인접 결함 "SneakPeek"을 공개했다. CSO Online이 전한 Noma에 따르면 첫 수정은 우회되었고 최종 수정은 Claude Desktop 1.30096.1 이상(2026년 8월 17일)에 포함되며, Anthropic이 부여한 CVSS 점수는 8.7(높음, v4.0)이고 CVE는 준비 중이다. Forever는 이를 자신들의 결함과 같은 것으로 본다. 우리가 읽은 출처는 이 수정이 Forever의 변형까지 포괄하는지 확인해 주지 않으므로, 우리는 그 변형에 대해 결론을 내리지 않는다.

공급업체는 무엇을 확인했고 무엇을 확인하지 않았나?

우리가 읽은 출처 기준으로 확인된 공급업체 입장은 하나다. OpenAI 대변인이 The Register에 회사가 "aware of the issue and working to address it"라고 말했다. Cursor, GitHub, Microsoft, Anthropic은 The Register가 기사를 게재할 때까지 답하지 않았다.

나머지는 모두 연구자의 설명이다. 보고 날짜, 답변이 없었다는 점, "미수정" 상태, 그리고 Workspace Trust를 이유로 거부되었다는 보고들이 그렇다. 이는 보고된 입장이지 공급업체에 대한 조사 결과가 아니다. Noma의 보고 날짜도 설명에 따라 다르다. Forever에 따르면 7월 24일이고, 언론이 전한 Noma에 따르면 7월 4일이다. 우리는 어느 쪽이 맞는지 판단하지 않는다.

내장 브라우저가 일반 브라우저보다 위험한 이유는?

일반 브라우저는 웹 페이지를 신뢰할 수 없는 것으로 취급한다. 페이지는 기기의 나머지 부분에 접근할 수 없는 격리된 공간에서 실행된다. AI 도구의 내장 브라우저는 기기에서 행동할 수 있는 에이전트 옆에 놓여 있고, 로컬 파일에 닿을 수 있으며, 자체 주소 표시줄을 보여 준다. 페이지와 이런 기능 사이의 경계가 약하면 페이지가 마땅한 수준보다 더 큰 영향력을 얻는다. 일반적으로 프로젝트 폴더 제한은 페이지에는 적용되면서도 페이지가 실행시킬 수 있는 모든 것에는 적용되지 않을 수 있다.

Forever가 더 넓게 지적하는 대상은 프로젝트를 신뢰할지 묻는 프롬프트인 Workspace Trust다. 연구자는 개발자가 작업을 하려고 "신뢰"를 누르기 때문에 이것이 실제로는 거의 아무것도 보호하지 못한다고 말한다. 이는 Forever의 평가이며 공급업체의 발표가 아니다. 더 넓은 맥락은 AI 생성 코드의 보안에 관한 우리 글을 참고하자.

보고는 얼마나 오래 열려 있나?

차트는 보고에서 수정까지, 또는 결함이 아직 열려 있을 때는 보고에서 10월 29일까지 걸린 일수를 보여 준다. 이 기간은 공급업체가 공표한 것이 아니라 Forever가 보고한 날짜로 계산한 것이다.

출처: Forever Security가 보고한 날짜로 계산, 확인일: 2026-10-30.

Cursor는 보고에서 수정까지 21일이 걸렸고, Copilot은 발견에서 수정까지 17일이 걸렸다(보고 없음). VS Code는 49일, Codex는 94일째였으며 둘 다 10월 29일 현재 열려 있었다. Claude Desktop은 Forever의 보고 이후 98일째이며 상태는 명시되지 않았다. 이런 기간의 이유는 알 수 없다.

영향을 받는 개발자는 얼마나 되나?

이 수치는 Hackread가 인용한 Forever의 추정이다. VS Code를 쓰는 개발자는 약 4,000만 명이고, Codex의 주간 사용자는 500만 명이 넘는다. Forever는 영향을 받을 수 있는 사용자가 "hundreds of millions"라고 말한다. 이는 설치 기반의 추정치이며 영향을 받은 기기의 수가 아니다.

지금 해야 할 일은?

• 업데이트한다. GitHub Copilot은 1.1.29 이상. Cursor는 최신 상태로(10월 1일 수정, 버전은 공개되지 않음). Claude Desktop은 Noma에 따른 SneakPeek 수정 버전인 1.30096.1 이상이며, 재시작한 뒤 버전을 확인하자.
• VS Code와 Codex (게재 시점에 미수정). 내장 브라우저에서 신뢰할 수 없는 HTML 페이지나 낯선 프로젝트를 열지 않는다. 습관적으로 프로젝트를 신뢰함으로 표시하지 말고, 신뢰하는 프로젝트 목록을 검토한다(Help Net Security가 전한 Forever의 조언).
• 노출되는 것을 줄인다. 범위가 좁고 수명이 짧은 토큰을 선호하고, 개발 기기에 수명이 긴 키와 시크릿을 두지 않는다. 이는 EMBRACE에 국한되지 않는 일반적인 위생 수칙이다.
• 조직. 워크스테이션에서 이 도구들을 파악하고, 내장 브라우저 관련 통제를 검토한다(Hackread를 통한 Forever의 조언).

도구 페이지: Cursor, GitHub Copilot, Claude Code, Codex.

비교표

자주 묻는 질문

어떤 도구가 영향을 받나?

Forever Security는 Cursor, GitHub Copilot, Claude Desktop, VS Code, Codex의 내장 브라우저에서 세 가지 유형의 결함이 서로 다른 상태로 있다고 보고한다.

결함은 수정되었나?

Forever에 따르면 Cursor(10월 1일)와 GitHub Copilot(10월 13일)은 수정되었고, VS Code와 Codex는 게재 시점에 수정되지 않았다. Claude Desktop은 Forever가 제시한 변형의 상태가 명시되지 않았으며, Noma에 따르면 인접 결함의 수정은 1.30096.1에 들어 있다.

명령줄의 Claude Code도 영향을 받나?

Forever는 이를 테스트했다고 보고하지 않았다. 연구는 데스크톱 애플리케이션의 내장 브라우저를 다룬다. 그렇다고 명령줄 도구가 안전하다는 뜻은 아니다. 우리가 읽은 출처에서는 이를 조사하지 않았다.

VS Code나 Codex를 쓴다면 어떻게 해야 하나?

내장 브라우저에서 신뢰할 수 없는 HTML 페이지와 낯선 프로젝트를 피하고, 습관적으로 프로젝트를 신뢰함으로 표시하지 말며, 가능하면 수명이 긴 시크릿을 기기에 두지 말고 공급업체의 업데이트를 지켜보자.

방법과 한계

이 글은 Help Net Security, The Register, Hackread, CSO Online이 전한 2026년 10월 29일자 Forever Security의 설명에 의존하며, 독자적으로 검증하지 않았다. OpenAI가 The Register에 한 발언을 제외하면 날짜, 답변, 상태는 모두 연구자의 주장이다. The Register가 접촉한 공급업체(Cursor, GitHub, Microsoft, Anthropic)는 기사가 게재될 때까지 답하지 않았다. Noma Labs 페이지는 직접 다시 읽지 않았다. 기간은 우리가 계산한 것이다. 이는 특정 환경을 위한 보안 조언이 아니며, 그 뒤 수정 상황이 바뀌었을 수 있다.

출처

• Forever Security: EMBRACE, hacking 5 AI assistants' embedded browsers (technical) (확인일: 2026-10-30)
• Help Net Security: research on AI assistant browser vulnerabilities (확인일: 2026-10-30)
• The Register: researchers find bugs in 5 AI developer tools, with OpenAI and Microsoft flaws still unpatched (확인일: 2026-10-30)
• Hackread: EMBRACE flaws in AI coding tools (확인일: 2026-10-30)
• CSO Online: Claude Code's 256KB blind spot (SneakPeek, Noma) (확인일: 2026-10-30)
• Noma Labs: SneakPeek (언론 인용, 직접 다시 읽지 않음)

이 기사에서 오류를 발견하셨나요? 제보하기 · 정정 정책