Güvenlik firması Forever Security, Cursor, GitHub Copilot, OpenAI Codex, VS Code ve Claude Desktop'ın içine gömülü tarayıcılarda aynı kök nedene dayanan bir açık sınıfı buldu: kötücül bir sayfa komut çalıştırabiliyor, yerel dosya tüm diski okuyabiliyor, adres çubuğu sahtelenebiliyor. Açıklaman yapıldığı anda Codex ve VS Code'taki sorunlar hâlâ yamalanmamış durumda.
Yapay zekâ destekli kodlama asistanları artık kendi içlerinde bir tarayıcı taşıyor — ve Forever Security’nin yeni araştırması, beş popüler araçta bu gömülü tarayıcıların hepsinin temel bir güvenlik kuralını delindiğini gösteriyor. Araştırmacı Gal Weizman’ın ekibi, Cursor, GitHub Copilot, OpenAI Codex, VS Code ve Claude Desktop’ı inceleyip açıkları ‘EMBRACE’ adıyla sınıflandırdı: Gerçek bir tarayıcı gibi güvenilen gömülü tarayıcı (EMbedded BRowser). Ortak kök neden, her üreticinin tarayıcıyı normal bir tarayıcının izin verdiğinin ötesinde ‘zenginleştirmiş’ olması — ve bu zenginleştirmelerin geleneksel tehdit modelini çökertmesi.
Sonuçlar ürüne göre değişiyor. Cursor’da kötücül bir web sayfası, gömülü tarayıcı üzerinden ajanın komut düzenleyicisini çağırabiliyor: Yapay zekâ, insandan gizli kalan talimatları okuyup uyguluyor ve bu yolla saldırgan ana makinede kod çalıştırabiliyor. GitHub Copilot’ta ise adres çubuğu sahteciliği var: Sayfa, adres çubuğunda github.com/login gibi gerçek bir adres gösterirken altında saldırganın sayfasını açabiliyor — hem insanı hem de ajanı kandırarak oltalama kapısı açıyor. Claude Desktop, Codex ve VS Code’taki sorun en geniş kapsamlı olanı: Bu üç araçta yerel bir HTML dosyası, gömülü tarayıcıda açıldığında sınırlarını aşarak makinedeki diğer dosyaları okuyabiliyor; Claude Desktop ve VS Code’da kısıtlamalar web worker’lar üzerinden atlatılabiliyor, Codex’te ise yerel sayfa doğrudan herhangi bir dosyayı okuyabiliyor.
Açıklama takvimi de tablonun parçası. Forever, Cursor’a 10 Eylül’de bildirim yaptı; üretici 1 Ekim’de sessizce yamaladı ama güvenlik bülteni yayınlamadı ve araştırmacılara dönüş yapmadı. GitHub, Copilot’taki adres çubuğu hatasını 13 Ekim’de 1.1.29 sürümünde — Forever’dan bağımsız olarak — kendisi düzeltti. Asıl endişe verici taraf diğerleri: Anthropic, Claude Desktop bildirimini (23 Temmuz) önce ‘geçersiz’ saydı, bir gün sonra başka bir firmanın aynı hatayı bildirmesi üzerine kabul etti. OpenAI’ye Codex açığı 27 Temmuz’da bildirildi, yanıt gelmedi ve hâlâ yamalanmadı. Microsoft, 10 Eylül’de bildirilen VS Code hatasını ‘workspace trust’ sınırı gerekçesiyle geçersiz saydı — yani açıklamanın yapıldığı anda bu iki dev ürünün kullanıcıları hâlâ açıkta.
Araştırmacıların vurgusu, kullanıcı sayısından bağımsız olarak riskin yapısında: Bu araçların her birinin kurumsal uç noktalar üzerinde aslında yönetilmeyen bir tarayıcı yüzeyi olduğu ve Codex ile VS Code’un açıklamanın yapıldığı anda hâlâ yamalanmamış durumda bulunduğu. Araştırmacının güvenlik ekiplerine önerisi net: Bu araçların her birinin aslında yönetilmeyen bir tarayıcı yüzeyi olduğunu kabul etmek, gömülü tarayıcıyı editör özelliği değil canlı bir uç nokta olarak yönetmek ve ‘kullanıcının tıklaması gerekir’ savunmasına güvenmemek — saldırının gereken tek tıklama, kullanıcıların güvendiği yerden geliyor: asistanın kendi çizdiği bir bağlantı.
Buluş, yapay zekâ ajanlarının masaüstüne sızmış olduğu bu hafta düşündürücü bir yerde duruyor: Symantec’in dün açıkladığı gri pazar AI relay’i Codex ve Claude Code’un güvenlik sandbox’larını kapatırken, EMBRACE aynı araçların içindeki tarayıcının kendisinin açık kapı olduğunu gösteriyor. Ders aynı: Ajan yazılımına ‘yumuşak’ entegre edilen her bileşen, tek başına duran halinin güvenlik kurallarıyla korunmuyor.