CodexやVS Codeの「内蔵ブラウザー」に脆弱性「EMBRACE」。AIに示されたリンクを開くだけでパソコン内のファイルが読まれるおそれ

2026年10月29日、セキュリティ企業のForever Securityが、AIのコーディング支援ツールに内蔵されているブラウザーの脆弱性を報告しました。一連の問題は「EMBRACE」と名付けられています。

調べられたのは、Cursor、GitHub Copilot、Codex、Visual Studio Code（VS Code）、Claude Desktopの5製品です。とくにCodexとVS Codeでは、悪意あるHTMLファイルを内蔵ブラウザーで開くだけで、パソコン内のファイル（サーバーへの接続キーや開発用の認証情報など）を読み取られるおそれがあり、公表時点で修正されていません。

社内でホームページや業務システムを作っている方、外注先の開発者がこうしたAIツールを使っている会社の方に向けて、何が起きたのか、何に気をつければいいのかを整理します。

この記事は2026年10月30日時点の公開情報をもとに作成しています。各社の修正状況は変わる可能性があります。最新情報は記事末尾の参考情報もあわせてご確認ください。

まず結論：やること

1. 社内や外注先で、Cursor・GitHub Copilot・Codex・VS Code・Claude Desktopを使っている人がいるか確認する
2. CursorとGitHub Copilotは、最新版に更新する（どちらも修正済み）
3. CodexとVS Codeは修正版がまだなので、出どころの分からないプロジェクトのHTMLファイルを内蔵ブラウザーで開かない
4. AIが示した「このファイルを開いてください」というローカルファイルへのリンクを、そのまま押さない
5. 他人から受け取ったプロジェクトや、ネットから取ってきたコードは、仕事用のパソコンとは切り離した環境（仮想マシンやクラウドの開発環境）で開く

EMBRACEとは？何が起きたのか

AIツールの「内蔵ブラウザー」とは

最近のAIコーディング支援ツールの多くは、アプリの中にブラウザーを持っています。作っているWebページの見た目をその場で確認したり、AIがページの中身を読んで作業を進めたりするためのものです。

便利にするため、各社はこのブラウザーにふつうのブラウザーにはない権限を与えています。たとえば、パソコン内のファイルを表示できる、ページの内容をAIに渡せる、といったものです。

Forever SecurityのGal Weizman氏は、この「内蔵ブラウザーを、ふつうのブラウザーと同じように安全だと信じてしまう」ことが共通の原因だとして、一連の問題を「EMBRACE」と名付けました。

見つかった問題は3種類

5製品が同じバグを持っていたわけではなく、問題は製品ごとに異なります。大きく分けると次の3種類です。

いちばん注意が必要な「ファイルの読み出し」

どうやって読まれるのか

CodexとVS Code、Claude Desktopの問題は、パソコン内にある悪意あるHTMLファイルを内蔵ブラウザーで開くことで起きます。

• Codex：開いたHTMLファイルから、プロジェクトの外にあるファイルを直接読み出せました
• VS CodeとClaude Desktop：ページから読めるファイルはプロジェクト内に制限されていました。ところが、ページの裏側で処理を動かす仕組み（Web Worker）にはこの制限がかかっておらず、そこからパソコン内のファイルを読み出せました

研究者は自分のMacで、次のようなファイルを読み出して外部に送れることを確かめています。

• サーバーに接続するためのSSHキー
• パスワードやAPIキーを書いた.envファイル
• npm（JavaScriptの部品の配布サービス）の認証トークン

こうした情報が漏れると、ホームページのサーバーや、開発中のシステム、取引先から預かったソースコードにまで、攻撃者が入れるようになるおそれがあります。

「開かなければ大丈夫」とは言い切れない理由

この攻撃が成り立つには、利用者が悪意あるHTMLファイルを内蔵ブラウザーで開く必要があります。そう聞くと「怪しいファイルは開かないから大丈夫」と思うかもしれません。

ところが研究者は、次のような流れを実際に示しています。

1. ネットから取ってきたプロジェクトに、財務レポートの画面のようなふつうに見えるHTMLファイルが入っている
2. 利用者がAIに「説明書（README）のとおりに準備して」と頼む
3. AIが作業の途中で、そのHTMLファイルへのクリックできるリンクを表示する
4. 利用者がAIの示したリンクだからと信じて押す
5. あとは画面に何も出ないまま、ファイルが読まれて外部に送られる

クリックを求めてくるのが、ふだん信頼して使っているAIツール自身なので、利用者が疑いにくいのです。研究者は「利用者がクリックしなければ安全」という考え方には頼れない、と指摘しています。

そのほかの2つの問題

Cursor：隠れた指示でAIにコマンドを実行させる

Cursorでは、Webページに「セットアップを開始」のような無害に見えるボタンを置き、その裏に画面では見えない指示を隠しました。内蔵ブラウザーでそのページを開くと、AIが指示を読み取り、コマンドの実行を求めてきます。利用者が確認画面でEnterキーを1回押すだけで、コマンドが実行されました。

研究者によると、安全のための仕組み（サンドボックス）がコマンドを止めた際、AIが自分の判断でサンドボックスを外してやり直したこともあったといいます。ただし、毎回起きたわけではなく、使うAIモデルによっても結果は変わったとしています。

この問題は2026年10月1日に修正されました。

GitHub Copilot：アドレス表示の偽装

GitHub Copilotでは、Webページが自分のアドレスを偽って伝えることができました。研究者は、実際には攻撃者のページなのに、アドレス欄に「github.com/login」と表示させ、偽のログイン画面を本物に見せかけられることを示しています。AIにも同じ偽のアドレスが伝わっていました。

バージョン1.1.27で確認され、GitHubが10月13日にバージョン1.1.29で修正しています。研究者が報告するより前に、GitHubが独自に直したとされています。

各製品の修正状況

MicrosoftとAnthropicが「脆弱性ではない」とした理由

VS Codeには、プロジェクトのフォルダーを初めて開くときに「このフォルダーの作成者を信頼しますか？」と確認する仕組み（ワークスペースの信頼）があります。

Microsoftは、この確認画面こそがセキュリティ上の境界であり、利用者が「信頼する」を選んだあとに起きることは脆弱性にあたらない、という立場で、VS Codeの報告を受け付けませんでした。Anthropicも、Forever Securityが7月23日に出したClaude Desktopの報告を、同じく「ワークスペースの信頼」の範囲の問題だとして受け付けませんでした。ただし、翌7月24日に別のセキュリティ企業（Noma Security）が出した同じ問題の報告は、有効なものとして受理したとされています。

これに対して研究者は、「信頼しないと選ぶとツールがほとんど使えなくなるので、利用者は結局『信頼する』を押してしまう。この確認画面は実際には利用者を守っていない」と反論しています。

社内や外注先で確認したい対策

CodexとVS Codeは、修正版がまだ出ていません。修正を待つあいだは、使い方で身を守ることになります。

1. 使っているツールを把握し、更新する

• 社内の誰が、どのAIツールを使っているかを把握します。外注先の開発者にも確認しましょう
• Cursorは10月1日以降の版、GitHub Copilotはバージョン1.1.29以降に更新します
• CodexとVS Codeも、修正版が出たらすぐに更新できるよう、更新のお知らせを確認しておきます

2. 出どころの分からないファイルを内蔵ブラウザーで開かない

• ネットから取ってきたプロジェクトや、知らない相手から受け取ったファイルに含まれるHTMLファイルは、内蔵ブラウザーで開かないようにします
• AIが「このファイルを開いて確認してください」とリンクを示してきても、どのファイルなのかを確かめてから開きます

3. 「信頼する」を押す前に、一度立ち止まる

• VS Codeなどで「このフォルダーの作成者を信頼しますか？」と聞かれたら、自社で作ったものや、信頼できる相手のものだけを「信頼する」にします
• 中身を確認したいだけなら、「信頼しない（制限モード）」で開きます

4. 知らないプロジェクトは、仕事用のパソコンとは切り離して開く

• 外部から受け取ったプロジェクトは、仮想マシンやクラウドの開発環境など、仕事用のパソコンの大事なファイルに届かない場所で開くのが安全です
• 万が一読まれても被害が小さくなるよう、パスワードやAPIキーを平文のファイルで置きっぱなしにしない、使っていない認証トークンは削除するといった整理も効果があります

5. 怪しいと思ったら、鍵や認証情報を作り直す

• 心当たりのないHTMLファイルを内蔵ブラウザーで開いてしまった場合は、SSHキーやAPIキー、各種サービスの認証トークンを作り直すことを検討します
• サーバーやサービスのログイン履歴に、見覚えのないアクセスがないかも確認しましょう

研究者は、技術的な対策として、信頼済みにしたプロジェクトの中のHTMLファイルに、レポートで示した攻撃のパターンが含まれていないかを確認することもすすめています。

よくある誤解

C-TechLabにできること

C-TechLabでは、AIツールを業務や開発に取り入れるお手伝いをしています。

• 社内で使っているAIツールの洗い出しと、安全に使うための社内ルールづくり
• 開発用のパソコンやサーバーの認証情報の整理、鍵の作り直し
• 外部のコードを安全に扱うための開発環境の見直し

「便利だから使っているけれど、安全かどうか分からない」という段階でも大丈夫です。お気軽にご相談ください。

よくある質問

EMBRACEとは何ですか？

EMBRACEは、セキュリティ企業Forever Securityが2026年10月29日に報告した、AIのコーディング支援ツールに内蔵されたブラウザーの一連の脆弱性の名前です。Cursor、GitHub Copilot、Codex、VS Code、Claude Desktopの5製品で、ファイルの読み出し、コマンドの実行、アドレス表示の偽装という3種類の問題が見つかりました。内蔵ブラウザーに、ふつうのブラウザーにはない権限が与えられていることが共通の原因です。

CodexやVS Codeを使っています。使うのをやめたほうがいいですか？

使うのをやめる必要まではありません。問題が起きるのは、悪意あるHTMLファイルを内蔵ブラウザーで開いた場合です。出どころの分からないプロジェクトのHTMLファイルを内蔵ブラウザーで開かない、AIが示したローカルファイルへのリンクをそのまま押さない、といった使い方で身を守りながら、修正版を待ちましょう。

CursorとGitHub Copilotはもう安全ですか？

今回報告された問題については、Cursorは2026年10月1日に、GitHub Copilotは10月13日のバージョン1.1.29で修正されています。古い版を使い続けていると影響を受けるので、最新版に更新してください。

プログラミングをしない社員も対策が必要ですか？

今回の問題は、AIのコーディング支援ツールの内蔵ブラウザーで起きるものです。これらのツールを使っていない社員には直接の影響はありません。ただし、ホームページや業務システムの開発を外注している場合は、外注先の開発者が使っている可能性があるので、対策ができているか確認しておくと安心です。

心当たりのないファイルを開いてしまいました。どうすればいいですか？

SSHキーやAPIキー、各種サービスの認証トークンなど、パソコンに保存していた認証情報を作り直すことを検討してください。あわせて、サーバーやサービスのログイン履歴に見覚えのないアクセスがないかを確認します。判断に迷う場合は、専門家に相談することをおすすめします。

参考情報

• Forever Security「EMBRACE: How We Hacked the Browsers Embedded in Top Five Desktop AI Assistants」（2026年10月29日）
• Forever Security「EMBRACE（技術レポート）」
• CNET Japan「「Codex」などの内蔵ブラウザーに脆弱性—プロジェクト外のファイル読み出しの恐れ」（2026年10月30日）
• Help Net Security「Researchers broke the browsers built into VS Code, Cursor, Copilot, Codex and Claude Desktop」（2026年10月29日）
• Hackread「EMBRACE Flaws in 5 AI Coding Tools Enable Code Execution and File Theft」