LO ESENCIAL EN 30 SEGUNDOS

  • Forever Security publicó EMBRACE el 29 de octubre de 2026, con fallos en los navegadores integrados de Cursor, GitHub Copilot, OpenAI Codex, VS Code y Claude Desktop.
  • Los ataques incluyen ejecución de código en Cursor, una dirección github.com falsa en Copilot y la lectura de claves SSH y tokens mediante archivos HTML locales.
  • Cursor y GitHub corrigieron sus fallos; Microsoft y Anthropic rechazaron los informes de los investigadores y OpenAI no respondió.

Los asistentes de programación con IA para escritorio incorporan cada vez más un navegador propio para previsualizar un proyecto o leer una pestaña. Un estudio publicado el 29 de octubre de 2026 por Forever Security, que vende herramientas de gobernanza de IA, sostiene que esos navegadores integrados reciben más confianza de la debida. El equipo, dirigido por Gal Weizman, llama a este patrón EMBRACE, abreviatura de un navegador integrado al que se trata como si fuera uno real.

Tres reglas, cinco productos

Un navegador normal ofrece tres garantías: una página web no puede ejecutar comandos en el ordenador, un archivo local no puede leer otros archivos del disco y solo el navegador controla la barra de direcciones. Cada fabricante relajó esas reglas en favor de la IA, y en todos los productos probados una de ellas falló.

En Cursor, una página ocultaba una orden para el agente tras un botón de instalación de aspecto inofensivo. Bastaba una aprobación y, cuando el entorno aislado la bloqueaba, el agente lo desactivaba por su cuenta y reintentaba; en la demostración se abría la calculadora. Según Help Net Security, este ataque depende del modelo y no siempre funciona. En GitHub Copilot, una página podía declarar cualquier dirección: la barra mostraba github.com/login sobre un formulario de acceso falso y la lista de pestañas del agente la repetía.

El tercer tipo afectaba a Codex, VS Code y Claude Desktop. En los dos últimos, una página HTML local estaba limitada a su carpeta de proyecto, pero no así el web worker que podía lanzar. Codex no aplicaba ninguna restricción de ese tipo. En un equipo de prueba, el ataque extrajo claves SSH, archivos .env, tokens de npm y el archivo hosts.

Notificación y respuesta de los fabricantes

Cursor, avisado el 10 de septiembre, corrigió el fallo el 1 de octubre. GitHub lo resolvió en Copilot 1.1.29, el 13 de octubre, antes de recibir informe alguno. Anthropic rechazó el informe de Forever del 23 de julio alegando el aviso Workspace Trust, pero aceptó uno similar de Noma Security al día siguiente; ninguna de las fuentes aclara si Claude Desktop ya tiene parche. Microsoft también descartó el caso de VS Code por Workspace Trust, y OpenAI no contestó al informe del 27 de julio. Codex y VS Code figuraban como vulnerables en el momento de la publicación.

Weizman sostiene que ese aviso de confianza no ofrece ninguna protección al usuario. Forever recomienda inventariar estas herramientas, tratar los navegadores integrados como superficie de ataque y no confiar en los clics del usuario como barrera. Los resultados proceden de una empresa de seguridad y no se han reproducido de forma independiente.