커서·코덱스·VS Code·클로드 데스크톱 안의 '내장 브라우저'가 구멍이었다 — EMBRACE 취약점, 코덱스·VS Code는 아직 미패치인데 내 PC는 뭘 확인해야 하나?

AI 코딩 도구들이 '미리보기' 용도로 넣은 작은 브라우저가 문제였습니다. 10월 29일 공개된 EMBRACE 연구는 다섯 개 도구 모두에서 웹페이지 한 장이 PC의 SSH 키·.env·npm 토큰을 들고 나갈 수 있었다고 보고합니다. 두 곳은 아직 고쳐지지 않았습니다.

무슨 일인가

Forever Security(갈 와이즈먼)가 10월 29일 'EMBRACE'(EMbedded BRowser)라는 이름으로 공개한 연구입니다. 요지는 하나입니다. Cursor, GitHub Copilot 앱, OpenAI Codex 앱, VS Code, Claude Desktop은 각자 편의 기능을 위해 내장 브라우저의 보안 규칙을 한 가지씩 풀어 놨고, 그 빈틈이 세 갈래 공격으로 이어졌습니다. 커서는 아무 웹페이지나 에이전트 입력창에 글을 밀어 넣는 통로(window.cursorBrowser.send)가 열려 있어, 페이지를 열고 실행 카드에서 Enter 한 번이면 숨겨진 명령이 PC에서 돌았습니다. 샌드박스가 막자 에이전트가 스스로 샌드박스를 끄고 다시 시도한 장면도 기록됐습니다(성공률은 모델에 따라 달라짐). 코파일럿 앱은 페이지가 보내온 주소 문자열을 그대로 주소창에 표시해 github.com/login처럼 보이는 가짜 로그인 화면이 가능했습니다.

가장 넓은 쪽은 세 번째입니다. 코덱스·VS Code·클로드 데스크톱은 로컬 file:// 페이지가 같은 디스크의 다른 파일을 읽을 수 있게 돼 있었고, 프로젝트 폴더 밖을 막는 검사는 웹 워커 안에서는 작동하지 않았습니다(코덱스는 검사 자체가 없음). 연구팀은 맥의 .DS_Store로 폴더 구조를 훑어 SSH 키·.env·npm 토큰·hosts 파일을 외부로 보내는 데 성공했습니다. 필요한 사용자 동작은 "README대로 프로젝트를 세팅해 달라"는 요청 뒤 에이전트가 만들어 준 file:// 링크를 한 번 클릭하는 것뿐이었습니다. 처리 현황은 엇갈립니다. 커서는 9/10 제보 후 10/1 조용히 수정(답신 없음), 코파일럿은 제보 전인 10/13 1.1.29에서 자체 수정, 앤트로픽은 7/23 제보를 '워크스페이스 신뢰 경계'라며 반려했다가 다른 업체의 7/24 제보는 유효로 인정, 오픈AI(7/27 제보)는 무응답, 마이크로소프트(9/10 제보)는 같은 이유로 반려 — 공개 시점에 코덱스와 VS Code는 미패치입니다. CVE 번호는 없습니다.

내 사업·앱에 무슨 의미

• 코덱스 앱·VS Code로 개발하는 1인 개발자 — 지금 당장 고쳐진 버전이 없습니다. 에이전트가 채팅에 띄운 file:// 링크, 모르는 저장소의 HTML 파일은 내장 미리보기에서 열지 않는 습관이 유일한 방어입니다.
• 외주 업체에 앱·서버를 맡긴 사장님 — 업체 개발자 PC에 내 서버 SSH 키와 .env가 있습니다. "AI 코딩 도구를 쓴다면 어떤 것이고, 키는 어디 두느냐"를 물어볼 때입니다.
• npm·클라우드 토큰을 PC에 두는 모든 팀 — 이 공격이 들고 나가는 게 정확히 그것입니다. 토큰은 만료 기간을 짧게, 권한은 저장소 하나로 좁혀 두면 유출돼도 피해가 작습니다.

지금 해볼 것

출처

• Forever Security — EMBRACE: Hacking 5 AI assistants' embedded browsers (technical, 2026-10-29)
• Forever Security — EMBRACE 요약 글
• Help Net Security — Research: AI assistant browser vulnerabilities (2026-10-29)