Los fallos EMBRACE en herramientas de IA mantienen a Codex y VS Code sin parche. Forever Security publicó el 29 de octubre una investigación que rompe una regla básica en cinco asistentes de programación: Cursor, GitHub Copilot, Codex, VS Code y Claude Desktop. En Cursor, una página web logró que el agente ejecutara código en la computadora anfitriona. En Codex, VS Code y Claude Desktop, un archivo local pudo leer el disco completo. En Copilot, la página pudo mentir sobre su propia dirección.
EMBRACE sale de EMbedded BRowser, navegador integrado en inglés. Gal Weizman, investigador de Forever Security, lo resume así: un navegador común trata cada página como hostil y le niega tres cosas: ejecutar comandos, leer los demás archivos desde un archivo local y escribir su propia dirección en la barra. Cada asistente relajó una regla para trabajar mejor, y cada relajación abrió una puerta.
Una página que le dicta órdenes al agente
Cursor lleva el caso más serio. Su navegador integrado abre un canal, window.cursorBrowser.send, que permite a cualquier página hablar con el compositor del agente. Forever Security construyó una ficha falsa con campos invisibles: en pantalla se veía un div vacío, «Start setup», y dentro viajaba una orden partida en tres atributos, con las piezas «npm», «install» y «add-colors-to-bash». El agente juntó las piezas y armó el comando.
El detalle que incomoda viene después. La instalación chocó con el entorno aislado de Cursor y quedó bloqueada; el propio agente canceló ese intento y repitió la operación fuera del entorno, con lo que el paso previo corrió con privilegios completos y abrió la Calculadora en la máquina de prueba. Forever Security confirmó el resultado desde cero, y aclara el límite: el éxito depende del modelo, es probabilístico. La puerta, eso sí, existe.
Copilot muestra la otra rendija de la misma pared. En la versión 1.1.27, hallada el 26 de septiembre, la vista previa dejaba que la página informara su propia dirección; la aplicación revisaba que el texto empezara con http, https o file y no comprobaba el destino real. Una página de un atacante podía mostrar github.com/login en la barra mientras cargaba un formulario falso debajo, y el agente recibía la dirección falsa como cierta. GitHub lo corrigió por su cuenta en la versión 1.1.29, del 13 de octubre.
Un archivo local que recorre el disco entero
Claude Desktop, Codex y VS Code comparten la tercera variante: lectura libre de archivos. Las tres abren páginas locales con el esquema file:// y les permiten mirar los archivos vecinos del proyecto. El cerco que impide salir de la carpeta funciona en el documento principal, pero no dentro de un web worker en segundo plano. Desde ese hilo, la lectura prohibida pasa sin control.
Leer un archivo exige saber su nombre, y ahí entra un rastro de macOS: los archivos .DS_Store que Finder deja en cada carpeta guardan la lista de sus vecinos. El equipo investigador escribió un lector de esos índices y caminó carpeta por carpeta, convirtiendo una lectura suelta en un mapa del disco. En la máquina de la prueba, la barrida sacó llaves SSH, archivos .env, tokens de npm, el archivo hosts y documentos privados. En la demostración todo salía a un servidor local; en un ataque real saldría a cualquier servidor remoto.
Codex ni siquiera pidió ese rodeo. La aplicación de OpenAI no puso cerco de lectura sobre la página, y una lectura directa desde el documento principal ya devolvía cualquier archivo. El contraste pesa para quien trabaja a diario con Codex y Claude Code enlazados en cadena: el asistente que ordena el código del cliente convive, en la misma computadora, con las credenciales que abren sus servidores. La entrega tampoco exige ingeniería rara: un proyecto con aspecto de informe financiero aburrido y la petición de montarlo siguiendo su README.
Codex y VS Code sin parche: fechas y respuestas
La línea de tiempo de los avisos deja mal paradas a dos empresas. Forever Security avisó a Anthropic el 23 de julio y recibió un rechazo con el argumento de la confianza en el espacio de trabajo; el 24 de julio, Noma Security reportó el mismo fallo de Claude Desktop y Anthropic lo aceptó. A OpenAI le llegó el aviso de Codex el 27 de julio y los investigadores no recibieron respuesta; a Microsoft, el de VS Code le llegó el 10 de septiembre y corrió la misma suerte. Cursor, avisado ese 10 de septiembre, corrigió en silencio el 1 de octubre.
The Register contrastó esas versiones y obtuvo una sola respuesta con contenido: una portavoz de OpenAI dijo que la compañía conoce el problema de Codex y trabaja para atenderlo, sin fecha. Cursor, GitHub, Anthropic y Microsoft no respondieron a ese medio. Al cierre del informe, el 29 de octubre, los fallos EMBRACE en herramientas de IA de Codex y de VS Code seguían abiertos: VS Code ronda los 40 millones de desarrolladores y Codex supera los 5 millones semanales.
La recomendación de Forever Security es directa: inventariar estas herramientas en los equipos de desarrollo y revisar qué controles gobiernan sus navegadores integrados. Para quien programa por su cuenta, la traducción práctica es más corta: tratar todo proyecto descargado como código ajeno que se va a ejecutar en casa. Un HTML abierto en la vista previa equivocada puede salir de visita por el disco completo, llaves y tokens incluidos.
Fuente: Forever Security
