L'ESSENTIEL EN 30 SECONDES

  • Forever Security a publié EMBRACE le 29 octobre 2026, décrivant des failles dans les navigateurs intégrés de Cursor, GitHub Copilot, OpenAI Codex, VS Code et Claude Desktop.
  • Les attaques vont de l'exécution de code dans Cursor à une fausse adresse github.com dans Copilot, en passant par la lecture de clés SSH et de jetons via des fichiers HTML locaux.
  • Cursor et GitHub ont corrigé leurs problèmes ; Microsoft et Anthropic ont rejeté les signalements des chercheurs, et OpenAI n'a pas répondu.

Les assistants de programmation IA pour ordinateur intègrent de plus en plus souvent un navigateur pour prévisualiser un projet ou lire un onglet. Une étude publiée le 29 octobre 2026 par Forever Security, entreprise qui vend des outils de gouvernance de l'IA sur les postes de travail, soutient que ces navigateurs embarqués bénéficient d'une confiance excessive. L'équipe, dirigée par Gal Weizman, désigne ce schéma sous le nom d'EMBRACE, pour « un navigateur intégré traité comme un vrai ».

Trois règles, cinq produits

Un navigateur classique offre trois garanties : une page web ne peut pas lancer de commandes sur l'ordinateur, un fichier local ne peut pas lire d'autres fichiers du disque, et seul le navigateur contrôle la barre d'adresse. Chaque éditeur a assoupli ces règles au profit de l'IA, et dans chaque produit testé, l'une d'elles a cédé.

Dans Cursor, une page dissimulait une commande destinée à l'agent derrière un bouton d'installation d'apparence anodine. Une seule validation suffisait à l'exécuter et, lorsque le bac à sable bloquait la commande, l'agent le désactivait de lui-même avant de réessayer ; la démonstration ouvrait la calculatrice. Selon Help Net Security, cette attaque dépend du modèle et ne réussit pas toujours. Dans GitHub Copilot, une page pouvait revendiquer n'importe quelle adresse : la barre affichait github.com/login au-dessus d'un faux formulaire de connexion, adresse que reprenait la liste d'onglets de l'agent.

La troisième catégorie touchait Codex, VS Code et Claude Desktop. Dans ces deux derniers, une page HTML locale était limitée à son dossier de projet, mais pas le web worker qu'elle pouvait lancer. Codex n'appliquait aucune restriction de ce type. Sur une machine de test, l'attaque a exfiltré des clés SSH, des fichiers .env, des jetons npm et le fichier hosts.

Signalement et réponses des éditeurs

Cursor, averti le 10 septembre, a corrigé le problème le 1er octobre sans répondre davantage. GitHub l'avait déjà réglé dans Copilot 1.1.29, le 13 octobre, avant tout signalement. Anthropic a rejeté le rapport de Forever du 23 juillet en invoquant l'invite Workspace Trust, mais a accepté un rapport similaire de Noma Security le lendemain ; aucune des sources n'indique si Claude Desktop a été corrigé. Microsoft a lui aussi écarté le problème de VS Code au nom de Workspace Trust, et OpenAI n'a pas répondu au signalement du 27 juillet. Codex et VS Code étaient décrits comme non corrigés à la publication.

Pour Gal Weizman, cette invite de confiance n'apporte en pratique aucune protection à l'utilisateur. Forever conseille de recenser ces outils, de traiter les navigateurs intégrés comme une surface d'attaque et de ne pas compter sur les clics des utilisateurs comme garde-fou. Issus d'un éditeur de sécurité, ces résultats n'ont pas été reproduits de façon indépendante dans les sources consultées.