Navegadores embutidos em 5 assistentes de IA conseguiam roubar chaves SSH — Codex e VS Code seguem vulneráveis

Cinco assistentes de IA para programar (Cursor, GitHub Copilot, Codex, VS Code e Claude Desktop) embutem navegadores próprios para mostrar prévias de projetos. Pesquisa da Forever Security publicada em 29 de outubro revela que esses navegadores permitiam roubar chaves SSH, arquivos .env e tokens do disco do usuário — Cursor e GitHub Copilot já corrigiram a falha, mas Codex e VS Code seguem vulneráveis.

Vulnerabilidades embutidas

A Forever Security testou cinco ferramentas de codificação com IA que integram navegador próprio e encontrou três tipos diferentes de falhas.

Em Codex, Claude Desktop e VS Code, bastava abrir um arquivo HTML malicioso para que um "web worker" em segundo plano escapasse da pasta do projeto e lesse qualquer arquivo da máquina, incluindo chaves SSH, arquivos .env, tokens npm e bancos de sessão do navegador.

Em Cursor, uma página maliciosa conseguia embutir instruções em elementos HTML que o próprio agente de IA interpretava e executava, chegando a desativar proteções de segurança ativas, conforme o The Register.

Já no GitHub Copilot, a falha permitia falsificar a barra de endereço, fazendo o app e o usuário acreditar que estava em um domínio diferente do real — vetor clássico de phishing.

Como a falha funciona

Segundo a Forever Security, a verificação de segurança desses apps cobre apenas a página visível, não os web workers que rodam por trás dela. Um arquivo aparentemente inofensivo conseguia mapear o disco e exfiltrarem credenciais sensíveis sem que o usuário percebesse.

Status de correção: patchy

Cursor aplicou uma correção silenciosa em 1º de outubro, menos de um mês após a Forever Security notificar a empresa em 10 de setembro — sem publicar aviso de segurança. O GitHub corrigiu a falha na versão 1.1.29 do Copilot, lançada em 13 de outubro.

Codex e VS Code seguem vulneráveis. A OpenAI foi notificada em 27 de julho e diz estar ciente e trabalhando na correção. A Microsoft, avisada em 10 de setembro, rejeitou o relatório do VS Code como inválido. A Anthropic rejeitou em 23 de julho o alerta sobre Claude Desktop, mas aceitou como válido um relatório quase idêntico enviado um dia depois pela Noma Security, citando o recurso "Workspace Trust" como mitigação.

O que diz a pesquisa

A pesquisa é um teste ofensivo de segurança (não um artigo revisado por pares), conduzido pela Forever Security entre julho e outubro de 2026, com divulgação responsável aos fornecedores.

Duas limitações importam: a Forever Security vende produtos de governança de segurança para empresas que usam IA, o que pode ter motivado a divulgação pública, e a exploração na maioria dos casos depende de o usuário abrir um arquivo ou página HTML maliciosa — não é ataque remoto que funciona sozinho.

O que fazer agora

Quem usa Codex, VS Code ou Claude Desktop para programar segue exposto a um vetor de ataque que pode vazar credenciais de produção, acesso a repositórios privados e chaves de nuvem.

Até a correção definitiva, os fornecedores recomendam evitar abrir arquivos HTML ou links de origem desconhecida dentro dessas ferramentas. Revisar permissões de pastas e workspaces é essencial. Quem guarda chaves SSH, arquivos .env ou tokens de API nas mesmas pastas de projetos abertos nesses assistentes é o perfil de maior risco.