Dans VS Code ou l'assistant Codex d'OpenAI, un fichier HTML piégé peut livrer vos clés SSH

Un développeur demande à son assistant d'IA d'installer un projet « comme indiqué dans le README ». L'assistant propose un lien vers un fichier HTML du projet. Un clic, et la page s'ouvre dans le navigateur intégré à l'outil. Elle se met alors à lire des fichiers de l'ordinateur : clés SSH, fichiers .env contenant des secrets, jetons npm.

Ce scénario, la société Forever Security l'a reproduit et publié le 29 octobre sous le nom d'EMBRACE. Son chercheur Gal Weizman a examiné les navigateurs intégrés à cinq outils de programmation assistée par IA : Cursor, GitHub Copilot, Codex d'OpenAI, VS Code de Microsoft et Claude Desktop d'Anthropic. Sa conclusion : ces navigateurs reçoivent des pouvoirs qu'un navigateur classique n'a pas, sans en garder toutes les protections.

Que permet chaque faille ?

• Codex : un fichier HTML local ouvert dans le navigateur peut lire n'importe quel fichier, sans restriction de dossier. Signalé le 27 juillet, sans réponse d'OpenAI selon Forever. Non corrigé.
• VS Code et Claude Desktop : la page est bien limitée à son dossier, mais un script d'arrière-plan qu'elle lance (un « web worker ») échappe à cette limite.
• Cursor : une page malveillante a pu faire exécuter du code, à condition que l'utilisateur approuve une commande proposée par l'agent, la vraie commande étant cachée derrière une étiquette anodine. Le succès dépendait en partie du modèle. Corrigé le 1^er octobre.
• GitHub Copilot : une page pouvait afficher une fausse adresse, par exemple celle de la connexion à GitHub, ce qui pourrait tromper l'utilisateur comme l'agent. GitHub l'a corrigé de lui-même dans la version 1.1.29, le 13 octobre.

Pourquoi deux éditeurs refusent-ils de corriger ?

Microsoft a classé le signalement comme non valable, en invoquant la « confiance dans l'espace de travail » (Workspace Trust) : en ouvrant un projet et en lui faisant confiance, l'utilisateur accepterait le risque. Anthropic a d'abord répondu de la même façon à Forever le 23 juillet, avant d'accepter un signalement similaire de Noma Security le lendemain. Ni Forever ni Help Net Security ne précisent si Claude Desktop est aujourd'hui corrigé.

Gal Weizman conteste cette logique, cité par Help Net Security : selon lui, cette demande de confiance n'offre « aucune protection » à l'utilisateur, car refuser rend l'outil inutilisable et tout le monde clique sur « Faire confiance ».

Forever commercialise des produits de sécurité pour l'IA, et ses résultats n'ont pas été vérifiés par un tiers.

Que faire en attendant ?

Comme le fichier téléchargé qui pouvait piloter Codex et Claude Code, cette attaque passe par un contenu ouvert dans un projet. Les réflexes :

• relisez la liste des dossiers marqués comme « de confiance » dans VS Code et Codex, et retirez-en les projets récupérés en ligne ;
• n'ouvrez pas dans le navigateur intégré les fichiers HTML d'un dépôt inconnu ;
• ne laissez pas de clés SSH ni de fichiers .env en clair sur les postes de développement si un coffre à secrets peut les garder ;
• recensez les assistants installés sur les postes : leur navigateur intégré est une surface d'attaque à part entière.

Reste à voir si OpenAI et Microsoft changeront d'avis maintenant que la recherche est publique.