Beş yapay zeka kodlama aracının gömülü tarayıcısında açık: Codex ve VS Code yamasız

Güvenlik şirketi Forever Security, Cursor, GitHub Copilot, Codex, VS Code ve Claude Desktop'ın içine gömülü tarayıcılarda açıklar bulduğunu 29 Ekim 2026'da yayımladığı araştırmada duyurdu. Şirket bu açık sınıfına, gerçek bir tarayıcı gibi güvenilen gömülü tarayıcı anlamına gelen EMBRACE adını verdi. Yayım tarihinde Codex ve VS Code'daki açıklar hala kapanmamıştı.

Tarayıcıya verilen ek yetkiler

Araştırmaya göre beş üründeki hatalar farklı, kök neden aynı. Bu araçlar yapay zeka ajanının sayfaları okuyup kullanabilmesi için gömülü tarayıcıya normal bir tarayıcıda olmayan yetkiler veriyor ve bu yetkiler kötü niyetli bir sayfanın ya da dosyanın eline geçebiliyor.

Cursor'da bir web sayfası, tarayıcı ile ajan arasındaki köprüden ajanın talimat kutusuna gizli komut gönderebiliyordu. Testte ajan bir paket kurma komutunu çalıştırdı, sanal alan engeline takılınca bu engeli kendisi kapatıp yeniden denedi ve makinede hesap makinesi açıldı. Forever, sonucun kullanılan modele göre değiştiğini belirtiyor. GitHub Copilot 1.1.27'de ise sayfa, hem kullanıcıya hem ajana kendini github.com/login adresindeymiş gibi gösterebiliyordu.

Codex, VS Code ve Claude Desktop'ta sorun yerel HTML dosyalarında ortaya çıktı. VS Code ve Claude Desktop'ta proje klasörü sınırı web worker üzerinden aşılabiliyordu, Codex'te ise araştırmacılar sayfada böyle bir sınır bulmadı. Forever bu yolla SSH anahtarlarının, .env dosyalarının ve npm belirteçlerinin okunabildiğini gösterdi. Saldırı için kurbanın dosyayı açması gerekiyor, ancak araştırmacılara göre projeyi kurması istenen ajan tıklanabilir dosya bağlantısını kullanıcıya kendisi sunabiliyor.

Yama durumu

Forever'ın zaman çizelgesine göre Cursor açığı 10 Eylül'de bildirildi, 1 Ekim'de kapatıldı. GitHub, Copilot'taki sorunu 13 Ekim'de 1.1.29 sürümünde giderdi. Codex açığı 27 Temmuz'da OpenAI'ye bildirildi ve şirket yanıt vermedi. VS Code açığı 10 Eylül'de Microsoft'a bildirildi, Microsoft bunu Workspace Trust gerekçesiyle geçersiz saydı. Anthropic de 23 Temmuz'daki bildirimi aynı gerekçeyle reddetti, ertesi gün Noma Security'nin yaptığı bildirimi ise geçerli kabul etti. Araştırmada Claude Desktop'ın güncel durumu ayrıca yazılmıyor, açık kalan ürünler olarak Codex ve VS Code sayılıyor.

Bu tablo Forever Security'nin kendi araştırmasına dayanıyor. Yama gelene kadar tanınmayan yerel HTML dosyalarını, ajan önermiş olsa bile, gömülü tarayıcıda açmamak yararlı olur. Sonuçları farklı açılardan görmek için bağımsız araştırmacıların değerlendirmelerini de takip edin.

Kaynaklar: Forever Security (teknik yazı), Hackread