五款主流 AI 编码工具曝出安全漏洞，包括 OpenAI Codex

据 The Register 报道，安全初创公司 Forever Security 在 Cursor、GitHub Copilot、Claude Desktop、VS Code 和 OpenAI Codex 五款 AI 开发工具中发现一类名为 Embrace（EMbedded BRowser）的漏洞，可导致远程代码执行、文件窃取和地址栏欺骗，根源在于这些工具的内嵌浏览器拥有常规浏览器不具备的系统访问能力，绕过了既有安全边界。Cursor 可经网页内嵌恶意提示词触发远程代码执行，10 月 1 日已修复但未发官方安全通告；GitHub Copilot 存在地址栏欺骗，GitHub 经 10 月 13 日 v1.1.29 补丁独立修复；Claude Desktop 和 VS Code 可被 Web Workers 绕过本地文件访问限制读取任意文件，Codex 本身就没有项目文件夹限制。