Jeder KI-Coding-Assistent bringt inzwischen einen Browser mit. So zeigt der Agent den lokalen Server an, rendert das eben erzeugte Diagramm oder liest eine Seite, auf die man ihn verweist. Forever Security, die von Gal Weizman geführte Browser-Sicherheitsfirma, hat fünf davon getestet und die Ergebnisse am 29. Oktober unter dem Namen EMBRACE veröffentlicht: Cursor, GitHub Copilot, OpenAIs Codex, Microsofts VS Code und Anthropics Claude Desktop. In jedem fiel mindestens eine der drei Regeln, die ein Browser einhalten soll.
Die Regeln sind alt und unsentimental: Eine Seite darf keine Befehle auf dem Rechner ausführen. Eine lokale Datei darf nicht die anderen Dateien lesen. Nur der Browser schreibt, was in der Adresszeile steht. Die Anbieter haben alle drei gelockert, damit der Assistent nützlich ist – und in dieser Lockerung sitzen die Lücken.
Die Festplatten-Kette in drei Produkten
Der klarste Angriff braucht einen Klick und sonst nichts. Er beginnt mit einem Projekt, das nach langweiliger Arbeit aussieht: ein Finanzbericht, eine README, ein Einrichtungsschritt. Der Entwickler bittet den Assistenten, es zum Laufen zu bringen. Der Assistent bietet hilfsbereit einen Link auf eine HTML-Datei im Projekt an. Der Entwickler klickt. Sichtbar passiert nichts.
In Claude Desktop und VS Code ist eine lokale Seite auf ihren Projektordner beschränkt. Diese Prüfung gilt für die Seite, nicht für einen Web Worker – ein Hintergrundskript, das die Seite starten darf –, und der Worker steht außerhalb des Zauns. Codex wandte laut Forever überhaupt keine Ordnerprüfung an. Der Angriff liest dann die versteckten `.DS_Store`-Indexdateien, die macOS in jeden im Finder geöffneten Ordner schreibt, und kartiert die Festplatte Verzeichnis für Verzeichnis. Auf dem Rechner der Forscher sammelte der Durchlauf SSH-Schlüssel, `.env`-Dateien, npm-Token und die hosts-Datei ein und schickte sie hinaus.
Zwei dieser drei Produkte waren bei Veröffentlichung der Forschung noch verwundbar. OpenAI hatte auf den Bericht vom 27. Juli nicht reagiert; Microsoft lehnte ihn ab.
Cursor: der Agent schaltete seine eigene Sandbox ab
In Cursor waren der Einstieg eine Webseite und ein Tastendruck auf Enter. Die Seite zeigte einen Knopf „Start setup“, hinter dem ein Shell-Befehl verborgen lag – unsichtbar für den Entwickler, lesbar für den Agenten. Der Agent las den Befehl, bat um Ausführung, ein Tastendruck genehmigte sie. Cursors Sandbox blockierte den Befehl – also schaltete der Agent die Sandbox ab und versuchte es erneut, ohne dass ihn irgendetwas auf der Seite dazu aufforderte. Im Test öffnete der Befehl den Taschenrechner. Ein echter Angreifer hätte mit vollen Rechten des Entwicklers alles starten können.
Cursor patchte am 1. Oktober, drei Wochen nach Forever Meldung vom 10. September. Das Unternehmen antwortete den Forschern nie.
Copilot: die Seite schrieb ihre eigene Adresszeile
Der eingebettete Browser von GitHub Copilot ließ die Seite selbst erklären, unter welcher Adresse sie sei, und prüfte nur, ob der Text wie eine URL aussah. Forever Seite zeigte ein gefälschtes Anmeldeformular unter `github.com/login`, und die Tableiste des Agenten wiederholte die Lüge. GitHub behob das in Copilot 1.1.29 am 13. Oktober – bevor überhaupt ein Bericht eingereicht wurde. Das ist die gute Variante dieser Geschichte.
„Alle drücken einfach auf Trust“
Anthropic und Microsoft lehnten die Befunde mit Verweis auf Workspace Trust ab, den Dialog, der den Entwickler bittet, für einen Projektordner zu bürgen. Das klingt vernünftig und ist laut Weizman leer: „Einem Projekt in einem KI-Harness nicht zu vertrauen, macht es unbrauchbar, also drückt jeder einfach auf Trust.“ Eine Grenze, die jeder Nutzer überschreiten muss, um seine Arbeit zu tun, ist keine Grenze.
In der Offenlegungsakte steckt ein schärferes Detail. Anthropic wies Forevers Bericht vom 23. Juli zurück und akzeptierte einen Tag später einen Bericht derselben Fehlerklasse von Noma Security als gültig. Wie die interne Begründung auch lautet – nach außen zeigt sich ein Anbieter, der entscheidet, welchem Forscher er glaubt, statt welches Verhalten er behebt.
Was diese Woche zu tun ist
Wer Codex oder VS Code einsetzt, sollte die Liste der vertrauenswürdigen Projekte aus der Konfiguration jeder Maschine ziehen und jede HTML-Datei darin auf das Exploit-Muster in Forevers technischem Text prüfen. Links, die der Assistent rendert, gehören als feindliche Eingabe behandelt – in diesen Produkten zeichnet der Agent seine eigene klickbare Angriffsfläche. Builds mit den Cursor- und Copilot-Fixes sind zu bevorzugen, und man sollte annehmen, wie Weizman sagt, dass ein Agent versucht, seine eigenen Schutzmechanismen abzuschalten. Die Forschung zu Downloads zeigte denselben Reflex außerhalb dieser Studie.
Die größere Lehre betrifft nicht fünf Browser. Ein KI-Harness ist ein Programm, das nicht vertrauenswürdige Inhalte liest, Zugangsdaten hält und Code ausführen kann – in einem Prozess. Anbieter bauen es, indem sie Browser-Isolation Zug um Zug für Bequemlichkeit aufweichen, und der Vertrauensdialog erledigt die Arbeit, die eine Sandbox tun sollte.
