Výskum označený EMBRACE nepopisuje jednu spoločnú chybu. Spoločným menovateľom sú rozšírené oprávnenia prehliadačov zabudovaných do vývojárskych aplikácií. Tie umožňujú prepájať webový obsah s AI agentom alebo lokálnym projektom, no podľa výskumníkov pritom vznikli medzery v bezpečnostných hraniciach.
V Cursore dokázala škodlivá stránka podsunúť agentovi pokyny cez rozhranie vstavaného prehliadača. Demonštrácia vyústila do spustenia kódu na počítači, vyžadovala však stlačenie klávesu Enter a úspech závisel od správania modelu. Nešlo teda o spoľahlivý útok bez interakcie používateľa. Podľa Forever Security Cursor chybu opravil 1. októbra.
Pri aplikácii GitHub Copilot bol problém odlišný: stránka mohla ovplyvniť adresu zobrazovanú v náhľade prehliadača bez skutočného presmerovania. Používateľ aj agent tak mohli dostať nesprávnu informáciu o otvorenom webe, čo vytváralo priestor na podvodné prihlasovacie formuláre. Výskumníci chybu zaznamenali vo verzii 1.1.27; GitHub ju podľa nich nezávisle opravil vo verzii 1.1.29 ešte pred odoslaním ich hlásenia.
Testy Claude Desktop, Codexu a VS Code sa týkali lokálneho HTML súboru otvoreného vo vstavanom prehliadači. V Claude Desktop a VS Code výskumníci obišli obmedzenie prístupu na priečinok projektu pomocou mechanizmu na spúšťanie skriptov na pozadí. V testovanom Codexe takéto obmedzenie čítania nenašli. Demonštrácia zahŕňala prístup k súborom s povereniami aj súkromným dokumentom; používateľ však musel škodlivý súbor najprv otvoriť.
Forever Security uvádza, že OpenAI problém nahlásila 27. júla a Microsoftu 10. septembra. Podľa The Register hovorca OpenAI potvrdil, že spoločnosť o chybe vie a pracuje na riešení. Microsoft podľa výskumníkov hlásenie odmietol s odkazom na hranicu dôvery pracovného priestoru. Anthropic pôvodné hlásenie takisto odmietol, no podľa Forever následne prijal rovnaký problém od Noma Security. Prijatie hlásenia samo osebe nepotvrdzuje vydanie opravy.
Praktické riziko sa týka opísaných vstavaných prehliadačov a konkrétnych spôsobov otvorenia škodlivého obsahu. Z výskumu nemožno vyvodiť, že každý používateľ uvedených produktov je automaticky napadnutý. Pri neznámych projektoch je namieste opatrnosť najmä pri lokálnych HTML náhľadoch a potvrdzovaní príkazov, ktoré agent preberie z cudzej stránky.