五款 AI 编程工具的内置浏览器如何违反了基本的浏览器规则
Forever Security 于 2026 年 10 月 29 日公布的 EMBRACE 研究发现，Cursor、GitHub Copilot、Codex、VS Code 和 Claude Desktop 的内置浏览器各自违反了一条基本的浏览器规则：网页可以执行命令、读取整块磁盘的文件，或伪造地址栏。Cursor 已于 10 月 1 日修复，Copilot 应用在 10 月 13 日的 1.1.29 版中修复，但截至 10 月 29 日 Codex 和 VS Code 仍未修复，Claude Desktop 的修复情况尚不明确。之所以重要，是因为这些工具直接操作代码库和密钥，而本地文件攻击只需用户点一次智能体写出的 file:// 链接即可得手。
报道来源
- Hacker News (AI)2026-10-31 03:32