Die Sicherheitsfirma Forever Security hat Lücken in fünf KI-Entwicklerwerkzeugen gefunden: Cursor, GitHub Copilot, Claude Desktop, VS Code und Codex. Alle fünf haben dieselbe Ursache. Jedes Werkzeug hat seinem eingebauten Browser Fähigkeiten gegeben, die ein normaler Browser nicht hat – und genau die brechen das Bedrohungsmodell, auf dem Browsersicherheit beruht.
Forscher Gal Weizman nennt die Klasse „Embrace“, kurz für EMbedded BRowser. Die Folgen unterscheiden sich je Werkzeug: Codeausführung bei Cursor, Datendiebstahl bei Claude Desktop, Codex und VS Code, eine gefälschte Adresszeile bei GitHub Copilot.
Der Web Worker umgeht die Ordnergrenze
Claude Desktop und VS Code erlauben lokal geöffneten HTML-Dateien Zugriff auf den jeweiligen Projektordner. Das ist Absicht. Die Grenze gilt aber nicht für Web Worker, also JavaScript, das in einem Hintergrund-Thread neben der Seite läuft. Eine lokale Seite startet einen Worker, und der Worker kommt an jede Datei auf der Maschine. Bei Codex brauchte es nicht einmal den Umweg: Dort konnte eine lokale Seite direkt jede Datei lesen.
Bei Cursor lag es anders. Der integrierte Browser lässt eine Webseite den Composer des Agenten aufrufen. Der Agent liest das als Anweisung und führt sie aus, ohne dass ein Mensch sie sieht – klassische Prompt Injection, am Ende mit Befehlen auf dem Host. Forever hat die Lücke am 10. September gemeldet, Cursor hat sie am 1. Oktober stillschweigend geschlossen, ohne Advisory und ohne Antwort an die Melder.
Copilots Vorschaubrowser hatte ein drittes Problem. Weil manche Seiten ihre Adresse ohne Neuladen ändern, ließ Copilot die Seite ihre eigene Adresse melden. Geprüft wurde nur, ob der Text wie eine URL aussieht. Damit lässt sich github.com/login in der Adresszeile anzeigen, während darunter eine Phishing-Seite lädt. GitHub hat das in Build 1.1.29 behoben, ohne je einen Bericht von Forever bekommen zu haben.
„Workspace trust“ als Begründung, zweimal
Der Teil, der hängen bleibt, ist der Umgang mit den Meldungen. Forever hat den Claude-Desktop-Fund am 23. Juli an Anthropic geschickt. Anthropic lehnte ihn als ungültig ab: Die Sicherheitsgrenze sei durch „workspace trust“ abgedeckt, also dadurch, dass du einem Ordner vorher vertrauen musst. Einen Tag später meldete Noma Security laut Weizman dieselbe Lücke, und Anthropic nahm den Bericht an. Auf die Fragen des Register zu beiden Meldungen hat Anthropic nicht geantwortet.
Microsoft hat Forever am 10. September dieselbe Antwort gegeben – ungültig, workspace trust – und die Lücke in VS Code ist nach Angaben der Forscher offen. Bei OpenAI, gemeldet am 27. Juli, kam gar keine Reaktion; ein Sprecher sagte dem Register, man kenne das Problem und arbeite daran.
Vertrauen in einen Ordner ist kein Vertrauen in jede Datei darin
„Workspace trust“ ist eine sinnvolle Grenze, aber sie beantwortet diese Frage nicht. Wenn du einem Repository vertraust, erlaubst du dem Agenten, darin zu arbeiten. Du erlaubst keiner HTML-Datei aus diesem Repository, über einen Hintergrund-Thread deine SSH-Schlüssel zu lesen. Genau diesen Schritt macht die Lücke, und genau an dieser Stelle wird aus einer Ordnerfreigabe ein Zugriff auf alles.
Dass drei Hersteller unabhängig voneinander zur gleichen Abweisung greifen, ist der eigentliche Befund. Eingebettete Browser in Agenten sind neu, die Begründungen für ihre Grenzen sind aus der IDE-Welt geliehen, und zwischen beidem liegt diese Lückenklasse.