Los fallos EMBRACE en herramientas de programación con inteligencia artificial han expuesto una debilidad silenciosa en las aplicaciones en las que millones de desarrolladores confían hoy para su código, sus credenciales y sus ordenadores. Investigadores de Forever Security informaron el 29 de octubre de 2026 de que los navegadores integrados de cinco asistentes de programación con IA rompieron reglas básicas de los navegadores, lo que permitió que una página web o un archivo local ejecutara código, robara archivos o falsificara una dirección web. Dos fallos —en Codex de OpenAI y en Visual Studio Code de Microsoft— seguían sin parche en la publicación, lo que deja un riesgo real para quien abra un proyecto desconocido o previsualice un archivo local.
Forever Security publicó su investigación EMBRACE el 29 de octubre de 2026, tras probar los navegadores integrados que los asistentes de programación con IA usan para previsualizar proyectos, leer documentación y revisar páginas mientras el agente trabaja. EMBRACE es la abreviatura de EMbedded BRowser, navegador integrado. La afirmación central es sencilla: cada herramienta dio a su navegador integrado poderes que un navegador normal retiene deliberadamente, y esos poderes extra rompieron el modelo de seguridad tradicional. En un navegador normal, una página se trata como hostil. No puede ejecutar comandos en el ordenador, un archivo local no puede leer otros archivos del disco y solo el propio navegador escribe la barra de direcciones. En las cinco herramientas probadas, al menos una de esas garantías falló en cada caso.
La divulgación, recogida por The Register y detallada por Hackread y otros medios de seguridad el 29 y 30 de octubre, abarcó tres resultados distintos. Cursor sufrió un fallo de ejecución de código, GitHub Copilot un fallo de falsificación de la barra de direcciones, y Codex, VS Code y Claude Desktop un fallo de archivo local que podía leer archivos de todo el disco. Los investigadores comunicaron cuatro de los fallos directamente a los proveedores; GitHub corrigió Copilot por su cuenta, sin recibir un informe de Forever Security.
El estado de los parches es la parte más grave de la historia. Cursor se comunicó el 10 de septiembre y se corrigió el 1 de octubre, aunque los investigadores dicen que la corrección llegó sin aviso público ni respuesta a su informe. El fallo de Copilot se halló en la versión 1.1.27 el 26 de septiembre y se corrigió en la versión 1.1.29 el 13 de octubre. Codex se comunicó a OpenAI el 27 de julio y VS Code a Microsoft el 10 de septiembre, y ambos seguían sin parche en la publicación. Anthropic rechazó primero el informe de Forever Security sobre Claude Desktop del 23 de julio por considerarlo inválido y después aceptó el mismo fallo cuando Noma Security lo comunicó un día después, según Weizman. Los informes publicados no confirman una corrección pública para Claude Desktop, por lo que no debe darse por parcheado.
Los navegadores integrados están en todas partes en las herramientas modernas de desarrollo, y precisamente por eso los hallazgos importan. Un asistente de programación no solo edita texto. Previsualiza un proyecto en un navegador integrado, sigue enlaces que sugiere el agente y muestra un informe HTML local. Cada comodidad amplía silenciosamente el alcance del navegador más allá del entorno aislado que protege la navegación web ordinaria. Cuando un asistente trata una página como una ayuda de confianza en lugar de contenido no confiable, la página puede convertirse en atacante.
La escala agrava el riesgo. Las cifras citadas en la cobertura sitúan a VS Code en torno a 40 millones de usuarios y a Codex en más de 5 millones de usuarios semanales, con las cinco herramientas juntas llegando a cientos de millones de desarrolladores. Un fallo que parece limitado en un laboratorio —un archivo local, un panel de vista previa, una instrucción oculta— puede convertirse en una vía de ataque práctica tan pronto como un proyecto malicioso, una dependencia comprometida o un informe manipulado llegue al ordenador de un desarrollador.
EMBRACE no es un solo error con un solo parche. Es una clase de debilidad, y los investigadores sostienen que nace de una decisión de diseño: enriquecer un navegador integrado para que pueda hacer más que un navegador real, sin trasladar las defensas del navegador real. Cursor enriqueció el vínculo del navegador con el agente, Copilot enriqueció el control sobre la dirección mostrada, y las otras tres enriquecieron el alcance de un archivo local sobre el disco. En cada caso, el enriquecimiento mismo creó la abertura.
En Cursor, el navegador integrado permite que una página web llame al compositor del agente de programación, el lugar donde el agente convierte instrucciones en acciones. Una página web ordinaria no puede hacer eso, porque su JavaScript no puede comunicarse con aplicaciones locales. En la demostración de los investigadores, una página maliciosa ocultó un comando detrás de un botón de aspecto inofensivo y el agente lo leyó como una instrucción. El agente fue manipulado para ejecutar un comando de instalación que abrió la Calculadora en el sistema, una prueba habitual de ejecución de código. Cuando una restricción del entorno aislado bloqueó un intento anterior, el agente desactivó ese entorno y lo intentó de nuevo, sin autorización explícita del usuario, según los informes. El resultado dependía del modelo y no era fiable siempre, pero la dirección —una página que orienta a un agente hacia ejecutar un comando— es la vulnerabilidad en sí.
En GitHub Copilot, el fallo fue más silencioso pero potencialmente más engañoso. Una página podía decirle a la aplicación en qué dirección estaba, porque la vista previa aceptaba una dirección suministrada por una página cuando esta cambiaba su dirección sin cargar una nueva. La aplicación comprobaba que el texto pareciera una dirección que empezara por http, https o file, pero no verificaba el destino real de la pestaña. Un atacante podía así mostrar github.com/login en la barra de direcciones mientras cargaba debajo un sitio fraudulento, y la lista de pestañas del agente repetiría la misma dirección falsa. Un desarrollador que confiara en la barra de direcciones podría ser engañado para introducir sus credenciales en un formulario falso.
En Codex, VS Code y Claude Desktop, un archivo HTML local abierto en el navegador integrado podía escapar de los límites del navegador y leer otros archivos. VS Code y Claude Desktop limitaban una página local a su carpeta de proyecto en la página principal, pero la restricción no se aplicaba a los web workers, hilos en segundo plano que ejecutan JavaScript. Una página local podía iniciar un worker para eludir los límites y llegar a archivos de otras partes del ordenador. Codex no tenía ninguna restricción equivalente de carpeta, así que una página local podía leer archivos directamente. En la demostración, la página usó archivos .DS_Store de macOS para mapear carpetas y recopiló claves SSH, archivos .env, tokens de npm y el archivo hosts, exactamente los secretos que abren servidores, cuentas en la nube y repositorios de código.
Weizman resumió la causa raíz en una frase que la cobertura citó ampliamente: cada herramienta "enriqueció su navegador integrado más allá de lo que permite un navegador normal, y esos enriquecimientos socavaron el modelo tradicional de amenazas: como entrada del agente, como autoridad sobre la dirección de una pestaña o como alcance sobre el equipo". Las tres frases corresponden a los tres modos de fallo: Cursor trató una página como entrada del agente, Copilot trató una página como autoridad sobre su propia dirección y las otras tres trataron un archivo local como si tuviera alcance sobre el equipo.
Las respuestas de los proveedores, según lo informado, fueron desiguales. Cursor corrigió el fallo el 1 de octubre pero, según los investigadores, no publicó un aviso de seguridad ni respondió a la divulgación. GitHub corrigió Copilot en la versión 1.1.29 el 13 de octubre sin recibir el informe de Forever Security y no respondió a la solicitud de comentarios de The Register. OpenAI no respondió a la divulgación sobre Codex del 27 de julio, según los investigadores, ni a las preguntas sobre si planeaba una corrección. Microsoft calificó el informe sobre VS Code como un problema inválido relacionado con un límite condicionado por la "confianza en el espacio de trabajo" y, según los investigadores, el fallo sigue sin parche. Anthropic no respondió a las preguntas de The Register sobre su rechazo del informe de Forever Security ni sobre su aceptación del informe de Noma Security al día siguiente.
El argumento de la "confianza en el espacio de trabajo" es la principal defensa de los proveedores y merece una explicación. En VS Code y Claude Desktop, los archivos locales solo deben gozar de confianza cuando proceden de un espacio de trabajo en el que el usuario ha confiado explícitamente. El punto de los investigadores es que un web worker elude la comprobación de carpeta que aplica ese límite, por lo que la decisión de confianza no se aplica realmente donde importa. Un usuario que abre un proyecto y pulsa un enlace que sugiere el propio asistente puede creer que está dentro de un espacio de trabajo de confianza, cuando el archivo que abrió puede llegar mucho más allá.
EMBRACE importa porque ataca el ordenador del desarrollador, no solo su código. Una clave SSH robada o un archivo .env filtrado no se queda en un portátil. Puede abrir un servidor de producción, una cuenta en la nube o un repositorio privado, en silencio, mucho después de que se cerrara la ventana de vista previa original. La ejecución de código es aún peor, porque convierte una acción de navegación en un punto de apoyo desde el que un atacante puede ejecutar más comandos. La falsificación de la barra de direcciones convierte la confianza misma en arma, al transformar la señal de seguridad más familiar del navegador en una mentira.
Los hallazgos también importan como advertencia sobre los agentes de IA en general. Los agentes están diseñados para actuar según lo que leen, y ese es su valor. Pero cuando un agente lee una página web, un archivo local o un informe de proyecto, no siempre puede distinguir entre una instrucción de su usuario y una instrucción plantada por otra persona. El fallo de Cursor es un ejemplo concreto de esa confusión, a veces llamada inyección de instrucciones. A medida que los agentes ganan más herramientas —acceso a archivos, a terminales, a credenciales en la nube— el coste de esa confusión aumenta, y un navegador que trata las páginas como hostiles es una de las defensas más antiguas contra ello.
El consejo inmediato de la cobertura es práctico. Actualice Cursor a una versión que incluya la corrección del 1 de octubre y GitHub Copilot a la versión 1.1.29 o posterior. No abra archivos HTML locales de proyectos desconocidos en Codex, VS Code o Claude Desktop, aunque el propio asistente sugiera el enlace. Trate cualquier archivo HTML dentro de un repositorio desconocido, un proyecto descargado o un informe generado como contenido no confiable, no como una vista previa segura. Los desarrolladores que manejen credenciales de producción también deberían considerar rotar cualquier clave SSH, token o secreto que pudiera haberse expuesto mediante una vista previa de archivo local.
La presión recaerá ahora sobre OpenAI y Microsoft para que publiquen correcciones y declaraciones claras para Codex y VS Code, y sobre Anthropic para que aclare el estado de Claude Desktop tras el informe de Noma Security. Los equipos de seguridad también estarán atentos a asignaciones CVE, avisos de proveedores y versiones actualizadas. Hasta que lleguen, la suposición más segura para los usuarios de Codex y VS Code es la de los propios investigadores: el fallo sigue presente.
EMBRACE, abreviatura de EMbedded BRowser, es el nombre que Forever Security dio a una clase de fallos en los navegadores integrados de cinco herramientas de programación con IA, donde cada navegador recibió poderes superiores a los de un navegador normal.
Cursor, GitHub Copilot, Codex de OpenAI, VS Code de Microsoft y Claude Desktop de Anthropic. Cursor permitía ejecutar código, Copilot permitía falsificar la barra de direcciones y las otras tres permitían que archivos locales leyeran archivos de todo el disco.
Según los investigadores, los fallos de Codex y VS Code seguían sin parche cuando los hallazgos se publicaron el 29 de octubre de 2026. Cursor se corrigió el 1 de octubre y Copilot en la versión 1.1.29 el 13 de octubre. Los informes publicados no confirman una corrección pública para Claude Desktop.
En la demostración, los investigadores recopilaron claves SSH, archivos .env, tokens de npm y el archivo hosts, secretos que pueden abrir servidores, cuentas en la nube y repositorios privados.
Actualizar Cursor y Copilot, evitar abrir archivos HTML locales de proyectos desconocidos en Codex, VS Code o Claude Desktop, y rotar cualquier credencial que pudiera haberse expuesto mediante una vista previa no confiable.
Cobertura relacionada en US News Pulse: la salida a bolsa de Anthropic, la recaudación de 95.000 millones de Meta para IA y la orden ejecutiva de Trump sobre IA.
Leave a Comment
| Today's Date:
