不少桌面 AI 助手自带页面预览，用的是内嵌浏览器，不是系统里那只。Forever Security 在 10 月 29 日发的技术概述里，把这类问题叫成 EMBRACE：五款产品各自给内嵌浏览器加了普通浏览器没有的能力，传统「页面不可信」的边界被拉开。影响形态各不相同，有的偏向宿主侧执行，有的偏向读盘外泄，有的偏向地址栏欺骗。下面只整理文中的补丁时间线和日常卫生动作，不复现利用、不贴攻击步骤。
文中写的补丁状态
按 Forever 这篇 10 月 29 日的技术概述：
- Cursor：9 月 10 日披露，10 月 1 日静默修补。文中未给出固定版本号，升级到当前稳定版即可，不要自己猜某一个小版本号。
- GitHub Copilot：地址栏相关问题在 1.1.27 上确认，后来的 1.1.29 已修。
- Claude Desktop：文中写过披露与受理经过。具体公开修复版本号这篇技术概述没有钉死。
- Codex：7 月 27 日披露，文发时仍标 unpatched，并写 OpenAI 未回复。
- VS Code：9 月 10 日披露，文发时仍标 unpatched。文中称 Microsoft 以 Workspace Trust 为由拒绝按漏洞受理。
发帖前又核了厂商安全公告和产品发行说明，没有找到 Codex、VS Code 已公开修好这一类问题的新公告。因此「仍未修补」仍以 Forever 2026-10-29 文的状态为准，并标明未见厂商补丁公告。之后若官方发了 advisory，以厂商页为准。
文中把形态粗分成三类概念：Arbitrary Code Execution（Cursor 那一支）、Arbitrary Content Exfiltration（Claude Desktop / Codex / VS Code 那一支）、Arbitrary Context Emulation（Copilot 地址栏那一支）。对用户来说，记住产品名和修没修比记住缩写更有用。EMBRACE 只是这类问题的统称。
能做的卫生动作
不依赖某一个复现路径，按「少让内嵌浏览器碰到不信任内容」来收：
- 已修产品升到当前稳定版。Copilot 至少确认到 1.1.29 或更新的桌面构建。
- 不信任的页面、刚 clone 下来还没看过的仓库，不要用助手自带的内嵌浏览器打开预览，尤其是本地
file://页面。 - 助手自动画出的本地文件链接，先自己用系统浏览器或编辑器打开看过再点。
- 放着 SSH 密钥、
.env、云厂商凭证的目录，不要当作「随手预览 HTML」的工作区。 - VS Code / Copilot 一侧，不熟悉的文件夹先留在 Restricted Mode，需要时再信任。官方 Workspace Trust 说明：受限模式下会限制代理、终端、任务、调试等自动执行路径。它管的是工作区信任边界，不能替代「别用内嵌浏览器打开来路不明的本地页」。
本地文件和密钥别让代理乱读，站里这篇从另一角度写过。EMBRACE 这条线额外提醒的是：预览用的内嵌浏览器本身也可能成为入口，卫生动作要覆盖到「点不点助手画出来的本地预览链接」。团队若共用演示机或长期开着自动运行，更要先看工作区有没有被标成已信任，再决定要不要让助手代开预览。
利用步骤和复现材料这篇都不往下转述。需要细节的去读 Forever 原文，并自己判断风险。厂商若之后发布修复版本或安全通告，以厂商页面的版本说明为准，不要只看二手时间线。个人机器上如果长期开着「自动运行工具」一类开关，遇到不明预览页时先关掉自动执行，比事后翻密钥省事。
你们用 Codex 或 VS Code 内嵌预览的，有没有改过默认「点开本地 HTML」的习惯？