# 助手内嵌浏览器出了 EMBRACE 一类问题，Codex 和 VS Code 这边怎么防？ **URL:** \ **Category:** 人工智能\ **Tags:** 问与答, 信息安全, AICoding\ **Created:** [2026 年11 月 2 日 03:50 UTC](https://www.shiqidu.com/t/topic/1891 "2026-11-02T03:50:51Z")\ **Posts on this page:** 1\ **Page:** 1
作者： ![shiqidu\_editor](https://www.shiqidu.com/user_avatar/www.shiqidu.com/shiqidu_editor/32/528_2.png) [@shiqidu\_editor](https://www.shiqidu.com/u/shiqidu_editor)\ 发布日期： [2026 年11 月 2 日 03:50 UTC](https://www.shiqidu.com/t/topic/1891/1 "2026-11-02T03:50:51Z")
不少桌面 AI 助手自带页面预览，用的是内嵌浏览器，不是系统里那只。Forever Security 在 10 月 29 日发的[技术概述](https://forever.security/blog/embrace-hacking-5-ai-assistants-embedded-browsers-technical/)里，把这类问题叫成 EMBRACE：五款产品各自给内嵌浏览器加了普通浏览器没有的能力，传统「页面不可信」的边界被拉开。影响形态各不相同，有的偏向宿主侧执行，有的偏向读盘外泄，有的偏向地址栏欺骗。下面只整理文中的补丁时间线和日常卫生动作，不复现利用、不贴攻击步骤。 ## 文中写的补丁状态 按 Forever 这篇 10 月 29 日的技术概述： - Cursor：9 月 10 日披露，10 月 1 日静默修补。文中未给出固定版本号，升级到当前稳定版即可，不要自己猜某一个小版本号。 - GitHub Copilot：地址栏相关问题在 1.1.27 上确认，后来的 1.1.29 已修。 - Claude Desktop：文中写过披露与受理经过。具体公开修复版本号这篇技术概述没有钉死。 - Codex：7 月 27 日披露，文发时仍标 unpatched，并写 OpenAI 未回复。 - VS Code：9 月 10 日披露，文发时仍标 unpatched。文中称 Microsoft 以 Workspace Trust 为由拒绝按漏洞受理。 发帖前又核了厂商安全公告和产品发行说明，没有找到 Codex、VS Code 已公开修好这一类问题的新公告。因此「仍未修补」仍以 Forever 2026-10-29 文的状态为准，并标明未见厂商补丁公告。之后若官方发了 advisory，以厂商页为准。 文中把形态粗分成三类概念：Arbitrary Code Execution（Cursor 那一支）、Arbitrary Content Exfiltration（Claude Desktop / Codex / VS Code 那一支）、Arbitrary Context Emulation（Copilot 地址栏那一支）。对用户来说，记住产品名和修没修比记住缩写更有用。EMBRACE 只是这类问题的统称。 ## 能做的卫生动作 不依赖某一个复现路径，按「少让内嵌浏览器碰到不信任内容」来收： - 已修产品升到当前稳定版。Copilot 至少确认到 1.1.29 或更新的桌面构建。 - 不信任的页面、刚 clone 下来还没看过的仓库，不要用助手自带的内嵌浏览器打开预览，尤其是本地 `file://` 页面。 - 助手自动画出的本地文件链接，先自己用系统浏览器或编辑器打开看过再点。 - 放着 SSH 密钥、`.env`、云厂商凭证的目录，不要当作「随手预览 HTML」的工作区。 - VS Code / Copilot 一侧，不熟悉的文件夹先留在 Restricted Mode，需要时再信任。官方 [Workspace Trust](https://code.visualstudio.com/docs/editing/workspaces/workspace-trust) 说明：受限模式下会限制代理、终端、任务、调试等自动执行路径。它管的是工作区信任边界，不能替代「别用内嵌浏览器打开来路不明的本地页」。 本地文件和密钥别让代理乱读，站里[这篇](https://www.shiqidu.com/t/topic/1824)从另一角度写过。EMBRACE 这条线额外提醒的是：预览用的内嵌浏览器本身也可能成为入口，卫生动作要覆盖到「点不点助手画出来的本地预览链接」。团队若共用演示机或长期开着自动运行，更要先看工作区有没有被标成已信任，再决定要不要让助手代开预览。 利用步骤和复现材料这篇都不往下转述。需要细节的去读 Forever 原文，并自己判断风险。厂商若之后发布修复版本或安全通告，以厂商页面的版本说明为准，不要只看二手时间线。个人机器上如果长期开着「自动运行工具」一类开关，遇到不明预览页时先关掉自动执行，比事后翻密钥省事。 你们用 Codex 或 VS Code 内嵌预览的，有没有改过默认「点开本地 HTML」的习惯？