Falhas em 5 assistentes de código: Codex e VS Code seguem sem correção

Cinco dos assistentes de programação com IA mais usados do mercado têm um ponto fraco em comum: o navegador que vem embutido dentro do aplicativo. É o que mostra uma pesquisa da empresa de segurança Forever Security, divulgada na quinta-feira (29) e detalhada pelo veículo The Register. As ferramentas atingidas são o Cursor, o GitHub Copilot, o Claude Desktop, o VS Code e o Codex, da OpenAI. Segundo a reportagem, as falhas ligadas ao Codex e ao VS Code continuam sem correção.

Os pesquisadores batizaram essa família de falhas de "Embrace", sigla em inglês para navegador embutido. A ideia central é simples de entender. Esses aplicativos abrem páginas web dentro da própria janela, para você ver uma prévia do site que está programando. Só que, para ser útil ao agente de IA, cada ferramenta deu a esse navegador poderes que um navegador comum não tem. E são justamente esses poderes extras que viram a porta de entrada para um ataque.

O que foi encontrado em cada ferramenta

De acordo com o relatório de Gal Weizman, da Forever Security, cada produto sofre de um problema diferente, mas todos nascem da mesma raiz.

No Cursor, a página aberta no navegador integrado consegue chamar o compositor do agente, o campo onde você escreve instruções para a IA. O agente lê esse texto como se fosse uma ordem legítima e a executa, sem que o usuário perceba. Isso abre caminho para a chamada injeção de comandos (prompt injection) e, no limite, para a execução de código arbitrário na máquina. A Forever diz que avisou o Cursor em 10 de setembro e que a empresa corrigiu a falha em silêncio em 1º de outubro, sem publicar aviso de segurança e sem responder à pesquisa. O Cursor também não respondeu ao pedido de comentário do The Register.

No GitHub Copilot, o problema é de aparência. A prévia do navegador confiava no endereço que a própria página informava, em vez de checar para onde a aba realmente apontava. Assim, um site fraudulento poderia exibir na barra de endereço algo como github.com/login enquanto carregava uma página falsa de roubo de senhas. A falha foi encontrada na versão 1.1.27, em 26 de setembro, e o GitHub corrigiu por conta própria na versão 1.1.29, em 13 de outubro, sem ter recebido o relatório da Forever.

No Claude Desktop, no VS Code e no Codex, o risco é a leitura de arquivos. Páginas HTML locais abertas no navegador embutido conseguem escapar dos limites e acessar outros arquivos do computador. No Claude Desktop e no VS Code, as páginas locais podem ver as pastas dos projetos, e os pesquisadores descobriram que a restrição não valia para os web workers, um recurso do navegador que roda JavaScript em segundo plano. Uma página local inicia um worker, e o worker alcança qualquer arquivo da máquina. No Codex, nem esse truque foi preciso: a página local lê os arquivos diretamente.

Quem corrigiu, quem negou e quem ainda não resolveu

A linha do tempo é a parte mais incômoda da história. Conforme o The Register, a Forever avisou a Anthropic sobre o Claude Desktop em 23 de julho. A empresa recusou o relatório como inválido, argumentando que se tratava de uma fronteira de segurança protegida pela confiança no espaço de trabalho. No dia seguinte, a Noma Security reportou a mesma falha, e a Anthropic aceitou como válida, segundo Weizman. A Anthropic não respondeu às perguntas da reportagem.

No caso da OpenAI, o aviso sobre o Codex foi enviado em 27 de julho e ficou sem resposta. A falha segue aberta, mas um porta-voz da OpenAI disse ao The Register que a empresa tem ciência do problema e trabalha para resolvê-lo. Já a Microsoft recebeu o aviso sobre o VS Code em 10 de setembro e, de acordo com a Forever, também classificou o caso como inválido por depender da confiança no espaço de trabalho. Os pesquisadores afirmam que ele continua sem correção, e a Microsoft não comentou.

Vale notar o que isso significa na prática. Os fabricantes usam o argumento de que, se você abriu um projeto e confiou nele, o risco é seu. O problema é que muita gente confia em pastas baixadas da internet, repositórios de terceiros e arquivos de origem duvidosa sem pensar duas vezes, e a pesquisa mostra que a barreira esperada não segura quando o navegador embutido entra na conversa.

Um padrão que se repete nas ferramentas de código com IA

Essa não é a primeira vez que a Forever Security aparece apontando esse tipo de fragilidade. Na semana passada, a empresa mostrou como um arquivo AGENTS.md malicioso na pasta de downloads podia sequestrar agentes, caso que contamos em Arquivo AGENTS.md na pasta Downloads sequestra agentes de código. O fio condutor é o mesmo: o agente confia em texto e em conteúdo que chega de fora, e o usuário nem vê o que foi enviado.

O cenário também conversa com outros incidentes recentes, como a extensão falsa do Claude Code no marketplace do Cursor, o worm que contaminou 42 repositórios com ganchos para Claude e Cursor e o caso do Claude Code que apagou arquivos sem aprovação. Cada episódio é diferente, mas todos mostram que ferramentas pensadas para facilitar o trabalho ganham acesso amplo ao seu computador, e qualquer brecha nesse acesso tem consequência real.

Como reduzir o risco hoje

Enquanto Codex e VS Code não recebem correção, algumas atitudes simples ajudam. Mantenha todos os aplicativos atualizados, já que Cursor e Copilot tiveram os problemas corrigidos em versões novas. Evite abrir no navegador embutido páginas locais ou projetos de origem desconhecida. Desconfie de qualquer pasta baixada que traga arquivos HTML, e não conceda confiança ao espaço de trabalho por reflexo, só porque o aplicativo pediu. Se você usa o agente para abrir sites, prefira um navegador comum para páginas que não sejam suas.

Outra boa prática é separar o que fica na mesma máquina. Chaves de API, arquivos de clientes e senhas não deveriam estar em pastas que um agente de código consegue alcançar. Quem trabalha com projetos de clientes pode usar um perfil ou um computador separado para isso, e quem usa IA para programar por conta própria deve ao menos revisar o que o agente está autorizado a fazer. Sobre o ataque a servidores, o caso da invasão à Anthropic via agentes reforça que até as grandes empresas lidam com esse tipo de risco.

Por que isso importa para você

Se você usa Cursor, Copilot, Claude Desktop, VS Code ou Codex para criar sites, automações ou ferramentas, seu computador guarda coisas valiosas: acessos a contas, arquivos de trabalho e, muitas vezes, dados de clientes. Uma falha no navegador embutido pode transformar uma simples prévia de página em acesso a esses arquivos, e isso vale tanto para quem programa profissionalmente quanto para quem apenas começou a usar IA para montar um projeto no fim de semana.

A lição prática não é abandonar as ferramentas, e sim tratá-las como qualquer software com acesso poderoso: atualizar, limitar o que enxergam e desconfiar de conteúdo que chega de fora. Também vale acompanhar os avisos de segurança dos fabricantes, e lembrar que a falta de um aviso, como no caso do Cursor, não quer dizer que nada foi corrigido. Para quem quer entender as ameaças vindas dos próprios modelos, nossa cobertura sobre o GLM 5.3 montando ataques ao Firefox mostra o outro lado da mesma moeda: a IA também acelera quem ataca.