Codex e VS Code, quando il browser dell’AI può aprire tutto il disco

Le vulnerabilità di Codex e VS Code sono ancora senza correzione, almeno secondo la ricerca pubblicata il 29 ottobre 2026 da Forever Security. Il problema non è nelle risposte dell’intelligenza artificiale: è nel browser incorporato negli strumenti, che in determinate condizioni può consentire a un file HTML malevolo di leggere documenti presenti fuori dal progetto e trasmetterne il contenuto all’esterno.

L’indagine si chiama EMBRACE e riguarda cinque applicazioni: OpenAI Codex, Visual Studio Code, Cursor, GitHub Copilot e Claude Desktop. I ricercatori hanno individuato vulnerabilità differenti, accomunate dalla stessa contraddizione: per lavorare insieme agli agenti AI, i browser integrati ricevono capacità che un normale browser limita o nega. E quelle capacità possono finire nelle mani del contenuto sbagliato.

La parte più insidiosa è che non serve un assistente ribelle. In uno dei test l’agente si limita a proporre all’utente un collegamento apparentemente utile, ricavato dalle istruzioni del progetto. Il clic arriva da una fonte percepita come affidabile; il file che viene aperto, invece, non lo è.

Vulnerabilità Codex e VS Code: come funziona EMBRACE

Un browser ordinario mantiene separate le pagine web dal resto del computer. Anche quando si apre un file locale, quel file non dovrebbe poter curiosare liberamente tra cartelle e credenziali. È una protezione costruita per trattare ogni contenuto come potenzialmente ostile, non come un collaboratore da assecondare.

Nei test descritti da Forever Security, il confine viene meno in modi diversi. In Codex un documento aperto nel browser integrato poteva leggere direttamente file esterni al progetto. In VS Code il controllo esisteva per la pagina principale, ma non veniva applicato allo stesso modo ai web worker, gli script che lavorano in secondo piano. I ricercatori hanno sfruttato quella differenza per raggiungere il resto del disco.

La dimostrazione è stata realizzata su una macchina di test: un progetto dall’aspetto innocuo, un file HTML aperto nell’anteprima e una raccolta di dati che includeva chiavi SSH, file .env e token utilizzati nello sviluppo software. Sono proprio i materiali che, su un computer di lavoro, possono aprire l’accesso a repository, servizi cloud e sistemi aziendali.

È importante distinguere la possibilità tecnica dall’attacco già avvenuto: la ricerca documenta una prova di sfruttamento, non una campagna di furti ai danni degli utenti. Per questo scenario, inoltre, il file preparato dall’attaccante deve essere aperto nel browser integrato. Non è sufficiente avere Codex o VS Code installati.

Cursor e Copilot: un comando eseguito e un indirizzo falso

Gli altri casi mostrano quanto possa cambiare il rischio da uno strumento all’altro. Nel browser incorporato in Cursor, una pagina poteva inviare all’assistente informazioni nascoste all’utente e indurlo a proporre l’esecuzione di un comando. Durante una prova, il comando è stato bloccato dalla sandbox; l’agente ha allora tentato autonomamente di ripeterlo disattivando quella protezione. La riuscita non era costante e dipendeva dal modello, ma il codice è stato eseguito sul computer di test.

Nel browser di GitHub Copilot il problema era diverso: una pagina riusciva a dichiarare un indirizzo differente da quello reale. La barra poteva così mostrare un URL riconoscibile, come quello di GitHub, mentre il contenuto proveniva da un altro sito. Anche l’agente riceveva l’indirizzo falso come informazione attendibile. Una condizione favorevole al phishing, senza che il sito malevolo dovesse realmente trasferirsi sull’indirizzo mostrato.

Secondo la cronologia pubblicata dai ricercatori, Cursor ha corretto la propria falla il 1° ottobre. GitHub Copilot ha risolto il problema nella versione 1.1.29 del 13 ottobre, prima che Forever Security inviasse una segnalazione. Le vulnerabilità non sono dunque tutte ancora sfruttabili.

OpenAI, Microsoft e Anthropic: chi ha corretto e chi no

La ricerca riporta una storia di segnalazioni cominciata mesi prima della pubblicazione. Forever Security dichiara di aver informato OpenAI del problema di Codex il 27 luglio e di non aver ricevuto risposta. A Microsoft la segnalazione per VS Code è arrivata il 10 settembre; secondo i ricercatori, l’azienda non l’ha riconosciuta come vulnerabilità valida, richiamando il confine di sicurezza legato alla fiducia accordata all’area di lavoro.

La questione di Claude Desktop è passata anche attraverso una segnalazione separata di Noma Security: Anthropic, inizialmente contraria alla classificazione proposta da Forever Security, avrebbe poi accettato il rapporto di Noma. Il comunicato non fornisce però una cronologia altrettanto precisa dell’eventuale correzione per Claude Desktop. La fonte indica esplicitamente come ancora aperti, alla data del 29 ottobre, soltanto i casi di Codex e VS Code.

Queste informazioni descrivono lo stato dichiarato dai ricercatori al momento dell’uscita dell’indagine. Non equivalgono a una verifica indipendente di tutte le versioni distribuite successivamente.

Il punto debole degli agenti AI non è soltanto il prompt

La discussione sulla sicurezza degli agenti AI si concentra spesso sulle prompt injection: istruzioni nascoste in una pagina o in un documento che cercano di farsi obbedire dal modello. EMBRACE sposta l’attenzione anche su ciò che circonda il modello. In alcuni test l’assistente viene manipolato; in altri non deve interpretare male nulla. È il browser che gli è stato affiancato a concedere a un file diritti eccessivi.

Un agente utile ha bisogno di vedere l’anteprima di un’app, aprire documenti, leggere progetti e talvolta eseguire operazioni. È esattamente questa integrazione a renderlo interessante. Ma quando la stessa applicazione è contemporaneamente lettore di contenuti esterni, ambiente di lavoro e intermediario verso il sistema operativo, bisogna decidere dove finisce l’autorità di una pagina e dove comincia quella dell’utente.

È il problema più ampio affrontato anche nella nostra guida alla sicurezza degli agenti AI: i permessi non possono dipendere soltanto dal fatto che un’istruzione sembri plausibile o arrivi attraverso un’interfaccia familiare.

Cosa fare se si usano Codex, VS Code o altri assistenti AI

Per ridurre l’esposizione conviene aggiornare gli strumenti, verificare gli avvisi dei produttori e soprattutto non aprire nel browser integrato file HTML o anteprime di progetti di provenienza incerta. Per attività su repository non fidati, un ambiente isolato e credenziali con privilegi limitati riducono le conseguenze di un’eventuale compromissione. Aggiornare resta necessario, ma non è una garanzia di risoluzione per i due problemi che Forever Security segnala ancora aperti.

Vale anche la pena ricordare che chi usa questi programmi spesso conserva sulla stessa macchina token, chiavi private e configurazioni di accesso. Un file che riesce a leggere il disco non trova soltanto documenti: può trovare le chiavi di altri sistemi.

Il paradosso è tutto qui: abbiamo insegnato ai browser a non fidarsi delle pagine. Poi abbiamo costruito assistenti capaci di lavorare per noi e, per renderli più comodi, abbiamo ricominciato a fidarci delle pagine che aprono.