Browser integrati nei tool AI per sviluppatori: falle in Cursor, Copilot, Claude Desktop, VS Code e Codex

• Forever Security trova falle «Embrace» nei browser integrati di cinque tool AI per sviluppatori
• Colpiti Cursor, GitHub Copilot, Claude Desktop, VS Code e Codex di OpenAI
• Codex e VS Code risultano ancora senza patch; Cursor e Copilot sono corretti
• Impatti: esecuzione di codice, furto di file e spoofing della barra degli indirizzi

La società di sicurezza per l’AI Forever Security ha individuato vulnerabilità in cinque strumenti AI per sviluppatori: Cursor, GitHub Copilot, Claude Desktop di Anthropic, VS Code e Codex di OpenAI. Secondo i ricercatori, le falle in Codex e in VS Code di Microsoft non sono ancora state corrette. Gli sviluppatori che usano le configurazioni interessate sono quindi potenzialmente esposti.

Il problema: browser con poteri in più

Il punto in comune è il browser integrato nell’applicazione. Secondo il ricercatore Gal Weizman, ogni strumento ha arricchito questo browser oltre ciò che un browser normale consente. Queste estensioni hanno compromesso il modello di minaccia tradizionale: il browser è diventato fonte di input per l’agente, autorità sull’indirizzo di una scheda o accesso diretto al sistema ospite.

Forever ha battezzato questa classe di vulnerabilità «Embrace» (da EMbedded BRowser). Gli effetti vanno dall’esecuzione di codice al furto di dati, fino allo spoofing della barra degli indirizzi.

I cinque casi

Cursor: esecuzione di codice arbitrario

Il browser integrato di Cursor consente a una pagina di richiamare il composer dell’agente. L’agente interpreta il contenuto come istruzioni e le esegue, senza che l’utente le veda. È uno scenario di prompt injection che può portare all’esecuzione di comandi sulla macchina. La segnalazione a Cursor è del 10 settembre. Il fornitore ha corretto il difetto in silenzio il 1° ottobre, senza advisory e senza rispondere ai ricercatori.

GitHub Copilot: spoofing della barra degli indirizzi

Nell’anteprima del browser di Copilot è la pagina a comunicare all’app il proprio indirizzo. L’app verificava solo che il testo sembrasse un indirizzo (cioè iniziasse con http, https o file), non la destinazione reale della scheda. Un attaccante può così mostrare un URL come github.com/login e caricare sotto un sito fraudolento, per esempio una pagina di phishing. Il difetto è stato trovato nella versione 1.1.27 il 26 settembre. GitHub l’ha corretto in modo indipendente nella build 1.1.29 il 13 ottobre, senza aver ricevuto la segnalazione di Forever.

Claude Desktop, Codex e VS Code: lettura arbitraria di file

In tutti e tre gli strumenti, un file HTML locale aperto nel browser integrato può uscire dai propri confini e accedere ad altri file. In Claude Desktop e VS Code le pagine locali hanno accesso solo alle cartelle di progetto. Questa restrizione però non vale per i web worker, una funzione del browser che esegue JavaScript in un thread separato. Un worker avviato da una pagina locale può quindi raggiungere qualsiasi file della macchina. In Codex la restrizione manca del tutto e la pagina può leggere i file direttamente.

Le risposte dei fornitori

• Anthropic: la segnalazione su Claude Desktop, inviata il 23 luglio, è stata respinta come non valida, perché rientrante nel confine di sicurezza legato al «workspace trust». Il giorno dopo Noma Security ha segnalato lo stesso difetto e Anthropic lo ha accettato come valido. L’azienda non ha risposto alle domande di The Register.
• OpenAI: la segnalazione su Codex è del 27 luglio e non ha ricevuto risposta. Il difetto non è corretto, ma un portavoce ha detto di esserne al corrente e di lavorare a una soluzione.
• Microsoft: la segnalazione su VS Code è del 10 settembre. Secondo Forever è stata classificata anch’essa come problema non valido legato al workspace trust, e il difetto resta senza patch. Microsoft non ha commentato.

La fonte non indica identificativi CVE né punteggi CVSS per queste vulnerabilità.

Cosa tenere presente

La fonte non fornisce mitigazioni ufficiali. Per Copilot la correzione è nella build 1.1.29. Per gli altri strumenti conviene seguire gli aggiornamenti dei fornitori. Finché le falle non sono risolte, le configurazioni che aprono file HTML locali o pagine non fidate nel browser integrato restano a rischio.

Fonte: theregister · Foto: theregister