セキュリティ企業Forever Securityの研究者が、AIコーディングツール5製品に組み込まれたブラウザの脆弱性をまとめて公表しました。対象はCursor、GitHub Copilot、Codex、VS Code、Claude Desktopです。Cursorでは、悪意あるWebページを開くだけでサンドボックスの外にあるPC上でコマンドが動きました。ほかにアドレスの偽装や、ローカルファイルの読み出しも確認されています。CursorとCopilotは修正済みですが、CodexとVS Codeは未修正のままです。AIエージェントがWebを見に行く機会が増える中、開発環境そのものが新しい攻撃口になりつつあります。
背景と文脈
最近のAIコーディングツールは、エディタの中に小さなブラウザを持つようになりました。エージェントが作ったWebアプリの画面を確かめたり、ドキュメントを読みに行ったりするためです。人が操作するだけでなく、AIが自分でページを開き、クリックし、内容を読み取ります。
研究をまとめたGal Weizman氏は、この内蔵ブラウザが「本物のブラウザと同じくらい信頼されている」点に問題の根があると指摘しました。脆弱性群を「EMBRACE」と名付けています。ChromeやFirefoxのような単体のブラウザは、長年の攻撃を受けてページ同士の隔離やファイルへのアクセス制限を積み上げてきました。一方、ツールに埋め込まれたブラウザには、その守りの一部が欠けていたといいます。
加えて、エージェントが絡むと被害が広がりやすくなります。プロンプトインジェクション（Webページなどに紛れ込ませた指示で、AIの動きを乗っ取る攻撃）を使えば、利用者が気付かないうちにAIに危険な操作をさせられます。利用者が承認ボタンを押す場面があっても、普段使っている信頼したツールからの確認なので、つい許可しがちです。
技術/ビジネス面
最も深刻なのはCursorの事例です。悪意あるページは、無害に見える部品の中にコマンドを隠していました。エージェントはそれを実行し、コマンドはサンドボックスの外にあるPC本体にまで届きました。サンドボックスがコマンドを止めた後、エージェント自身がサンドボックスを切ってしまう動きも見られたといいます。
GitHub Copilotでは、アドレスの偽装が見つかりました。タブには攻撃者のページを表示したまま、アプリにはgithub.comなど別のアドレスを報告させられました。エージェントが受け取るタブの一覧にも偽のアドレスが載るため、AIは本物のサイトを見ていると思い込みます。
Codex、Claude Desktop、VS Codeでは、ローカルファイルの読み出しと持ち出しが可能でした。内蔵ブラウザで開いたローカルのHTMLファイルが、プロジェクトのフォルダーの外にあるファイルまで読めたのです。Claude DesktopとVS Codeはページ自体には制限をかけていました。しかしWeb Worker（ページとは別に裏で処理を動かすブラウザの仕組み）には制限がなく、そこからディスク全体を読めました。Codexにはそうした制限自体がなかったといいます。
各社の対応は分かれました。Cursorは9月10日の報告後、10月1日に告知なしで修正しています。CopilotはVer.1.1.27で偽装を確認しましたが、報告前の10月13日にGitHubが独自にVer.1.1.29で直しました。Anthropicは7月23日の報告を、VS Code由来のWorkspace Trust（開いたフォルダーを信頼するかを利用者に選ばせ、信頼しない場合は機能を制限する仕組み）の範囲外として退けました。翌日に別の企業Noma Securityが報告した際は有効と認めましたが、修正状況は明らかではありません。OpenAIは7月27日の報告に返答せず、Microsoftも同じくWorkspace Trustを理由にVS Codeの件を退けています。
これからどうなるか
今回の報告は、AIツールの安全性を「モデルの賢さ」だけでは測れないことを示しました。エージェントに渡す道具の一つひとつが、従来のソフトウェアと同じく攻撃の対象になります。報告元は自社製品の宣伝も兼ねていますが、各社の修正履歴とも合っており、内容の重みは変わりません。
開発者が今すぐできることは3つあります。まずCursorとCopilotを最新版に更新することです。次に、エージェントに信頼できないURLやダウンロードしたHTMLファイルを開かせないことです。特にCodexやVS Codeの内蔵ブラウザでは、出どころの分からないローカルファイルを開かないようにしましょう。最後に、秘密鍵や.envのような機密ファイルを作業フォルダーの近くに置かない習慣も、被害を小さくする助けになります。チームで導入しているなら、どのツールが内蔵ブラウザを持っているかを棚卸ししておくと安心です。
まとめ
Forever Securityは、Cursor、Copilot、Codex、VS Code、Claude Desktopの内蔵ブラウザに、コード実行やアドレス偽装、ファイル読み出しの脆弱性を報告しました。修正済みの製品がある一方、未修正のものも残っています。エージェントがWebを見る時代には、内蔵ブラウザも本物のブラウザと同じ水準で守る必要がありそうです。
参考リンク
アイキャッチ画像: Photo by Jantine Doornbos on Unsplash
