要点
- 研究会社の Forever Security によると、よく使われる AI 開発ツール5つで、ツールに組み込まれたブラウザに欠陥が見つかった。
- 細工したページを開くと、パソコンの中のファイル（SSH の鍵やパスワード入りの設定ファイルなど）を読まれたり、命令を実行されたりするおそれがある。
- 研究者によると、OpenAI の Codex と Microsoft の VS Code の欠陥は、記事を出した時点でまだ直っていない。
何が起きたか
Forever Security の研究者 Gal Weizman は、2026年10月29日に技術報告を出した。調べたのは、AI に手伝わせてプログラムを書くデスクトップのツール5つだ。どれも、画面の中で Web ページを開ける小さなブラウザを持っている。
研究者は、このブラウザに、ふつうのブラウザにはない強い権限が足されていることを問題にした。この型の欠陥を「EMBRACE」と名づけている。報告によると、各ツールの中身は次のとおりだ。
| ツール | 欠陥の中身 | 起こりうること | 状況（報告による） |
|---|---|---|---|
| Cursor | 組み込みブラウザのページが、AI エージェントの入力欄に文章を送り込めた | パソコンで命令を実行される | 10月1日に、告知なしで直った |
| GitHub Copilot | 画面のブラウザ（プレビュー）が、ページが名乗るアドレスをそのまま表示した | 偽のページに「github.com/login」と出せる（偽のログイン画面に使える） | 1.1.29 で直った（10月13日） |
| Claude Desktop | パソコン内の HTML ファイルを開くと、決められたフォルダの外のファイルも読めた | ファイルを抜き取られる | Forever Security の届け出（7月23日）は無効とされた。翌日に Noma Security が出した届け出を、Anthropic は有効と認めた。直った版は書かれていない |
| VS Code | Claude Desktop と同じ型 | ファイルを抜き取られる | 未修正。Microsoft は届け出を退けた |
| Codex | パソコン内のページが、制限なしにファイルを読めた | ファイルを抜き取られる | 未修正 |
報告では、どの欠陥も、利用者が細工したページやファイルを開くことが前提になっている。報告は、届け方のありうる例として、AI 自身が細工したファイルへのリンクを利用者に差し出す筋書きを挙げている。実際に見つかった手口として書かれているわけではない。Cursor の場合は、ほかにも、AI が出した実行の確認を利用者が承認することが要る。成功するかどうかは AI のモデルにもよるとされる。
各社の受け止め方は、そろわなかった。報告の中で、届け出が有効と認められた記録があるのは Anthropic だけだ。ただし、Anthropic が認めたのは Noma Security という別の会社が7月24日に出した届け出だった。その前日に Forever Security が出した届け出は、無効とされていた。理由は「Workspace Trust」（開いたフォルダを信頼するかを利用者が決める仕組み）で守られる範囲の話だ、というものだ。Microsoft も、9月10日の届け出を同じ理由で無効とした。OpenAI からは、7月27日の届け出に返事がなかったと報告は書いている。一方で OpenAI は、The Register の取材に、問題を把握していて対応中だと答えた。
報告は、実際の攻撃に使われたかどうかには触れていない。
日本の利用者への影響
5つのツールは、日本の開発者にも広く使われている。特に VS Code は、プログラムを書く人の多くが使う定番のツールだ。日本で被害が出たかどうかは、報告にも報道にも書かれていない。
当たるのは、これらのツールで、外から手に入れたプロジェクトやファイルを開く人だ。報告は、ファイルを探すのに macOS の仕組みを使っている。Windows や Linux で同じことが起きるかは、報告からは分からない。
今すぐやること
- Cursor と GitHub Copilot を最新版にする。この2つは、研究者が直ったと報告している。
- Codex と VS Code では、知らない人から来たプロジェクトや HTML ファイルを、ツールの中のブラウザで開かない。直るまでは、ふつうのブラウザで開くか、開かずに済ませる。
- AI が「このリンクを開いて」「このファイルを見て」と出してきたら、すぐに押さない。どこから来たファイルかを先に確かめる。
- AI が命令を実行してよいか聞いてきたら、中身を読んでから承認する。Enter を押すだけで通さない。
- 開発に使うパソコンに、鍵やパスワードを置きっぱなしにしない。漏れたら困る鍵は、使う人とできることを絞っておく。
背景
AI 開発ツールは、AI にページを見せたり、作ったページの見た目を確かめたりするために、ブラウザを組み込むようになった。便利にするために、ページから AI やファイルに届く道を足すと、その道が攻撃の入口にもなる。研究者が指摘したのは、この点だ。
Forever Security は、9月にも「BragJack」という研究を出している。ブラウザの拡張機能から、Gemini in Chrome などブラウザの中の AI を乗っ取れたという内容だ。今回は、その目を AI 開発ツールに向けた形になる。
Anthropic と Microsoft がまず届け出を退けた理由は、どちらも「利用者が信頼すると決めたフォルダの話」というものだった。どこまでを利用者の責任とみるかで、研究者と会社の考えが分かれている。
技術者向けの詳細
- 報告の分類: Cursor は Arbitrary Code Execution、GitHub Copilot は Arbitrary Context Emulation、Claude Desktop・VS Code・Codex の3つは Arbitrary Content Exfiltration に当たる
- ファイル読み取りの仕組み（報告による）: ローカルの HTML ページ（
file://）から読もうとすると、Claude Desktop と VS Code では、ページ本体からの読み取りは断られる。ところが Web Worker（ページの裏で動く別の処理）を通すと、プロジェクトの外のファイルまで届いた。Codex は読み取りを止める仕組みを持たず、ページ本体から直接読めた - 報告は、SSH の鍵、
.env、トークンを読める例として挙げている。ファイルを探すのに macOS の.DS_Storeを使う - GitHub Copilot: 1.1.27 で確認、1.1.29 で修正（GitHub が届け出の前に自分で直した）。ページが名乗る URL を、形だけ見て信じていた
- Cursor: 9月10日に届け出、10月1日に修正。セキュリティの告知はなく、版の番号も示されていない
- 届け出の日: Anthropic 7月23日（退けられた）・7月24日（Noma Security が届け、有効と認められた）、OpenAI 7月27日、Microsoft 9月10日
- CVE の番号は、報告には書かれていない
- VS Code で当たる機能（Simple Browser など）の名前や、試した版は、報告に書かれていない
- 手元で確かめること: VS Code の Workspace Trust を有効にし、知らないフォルダは「制限モード」で開く。ただし、報告によると Microsoft はこの仕組みの範囲だとして直していないので、それだけで防げるとは限らない
- 詳しい流れは Forever Security の技術報告 を見る