EMBRACE: 5 lỗ hổng AI coding tool, 2 sản phẩm chưa vá

Theo ước tính của Forever Security, khoảng 40 triệu lập trình viên dùng VS Code, và hơn 5 triệu người dùng Codex hằng tuần. Trong 5 công cụ AI coding phổ biến nhất, nhà nghiên cứu tìm ra một lớp lỗ hổng tên EMBRACE. Chỉ cần một file HTML trong trình duyệt tích hợp, trình duyệt đó đã có thể đọc nội dung ngoài thư mục làm việc.

Không có tin nào xác nhận khai thác ngoài đời. Nhưng tại thời điểm công bố ngày 29/10/2026, 2 trong 5 sản phẩm vẫn chưa có bản vá.

Ba luật của trình duyệt mà AI coding tool đã phá

Một trang web bình thường không thể chạy lệnh trên máy bạn, không đọc được file cục bộ. Các công cụ AI coding không dùng trình duyệt thật — chúng nhúng một trình duyệt riêng (Chromium bản rút gọn) để AI đọc trang và chạy JavaScript. Bản nhúng này cấp quyền nhiều hơn trình duyệt bạn mở hằng ngày.

Ba hậu quả được nhóm nghiên cứu mô tả. Chạy code trong môi trường của bạn. Lấy dữ liệu ra ngoài (exfiltration). Giả lập ngữ cảnh để khiến AI tin rằng nội dung đọc được là do chính bạn yêu cầu. Cả 5 sản phẩm đều có ít nhất một biến thể lỗi.

Kỹ thuật: đọc file hàng loạt trong Codex, VS Code, Claude Desktop

Trong trình duyệt tích hợp, đường dẫn chính thức của dự án thường chỉ áp cho trang chính. Còn web worker (script nền) áp bộ quy tắc riêng.

Ở Claude Desktop và VS Code, lệnh fetch("file:///etc/hosts") bị chặn ở trang chính. Nhưng chạy trong web worker thì đọc thẳng được, vì bộ quy tắc chỉ kiểm tra ở trang chính mà không áp dụng trong worker. Trên macOS, tệp .DS_Store trở thành đường dẫn đọc trộm dữ liệu. Đây là kỹ thuật lập bản chỉ mục thư mục: mỗi tệp liệt kê các file anh em cùng thư mục. Nhờ đó, worker đi từ đọc một file thành quét cả ổ đĩa.

Codex thì còn lộ hơn. Nguồn gốc mô tả Codex là ngoại lệ: nó không đặt rào chặn đọc file nào cả. Đọc thẳng từ trang chính là xong, không cần web worker.

Đây không phải lỗ hổng zero-day. VS Code đã có cơ chế “workspace trust” từ lâu. Nhưng cơ chế đó chỉ hỏi người dùng có tin project hay không — với một AI agent, câu trả lời gần như luôn là có.

Bảng trạng thái vá: cái nào đã vá, cái nào chưa

Trạng thái dưới đây là tại thời điểm 29/10/2026 — ngày công bố. Trước khi hành động, hãy kiểm tra bản mới nhất của từng sản phẩm.

| Sản phẩm | Trạng thái | Ghi chú |

Kết quả khai thác ở Cursor còn phụ thuộc vào hành vi của model — tức không bảo đảm thành công trong mọi trường hợp.

Khi “Trust” không còn là ranh giới bảo mật

Trích dẫn của Gal Weizman (Forever Security), qua Help Net Security ngày 29/10/2026.
“…everyone just hits ‘Trust’… that prompt provides zero protection to the user.”

Không tin project trong AI harness thì công cụ không dùng được, nên ai cũng bấm “Trust”. Câu hỏi đó bảo vệ người dùng bằng không. Kịch bản tấn công rất đơn giản: project giả danh báo cáo tài chính, đính kèm file HTML. AI được yêu cầu “setup theo README” và tự mở file đó. Một cú click của bạn là toàn bộ chuỗi hoàn tất.

Lưu ý

EMBRACE là tên một lớp lỗ hổng, chưa được gán mã CVE và chưa có điểm CVSS. Tại thời điểm 29/10/2026 không có nguồn nào xác nhận khai thác ngoài đời. PoC chỉ tồn tại trong phòng thí nghiệm của nhóm nghiên cứu.

Việc cần làm ngay hôm nay: checklist cho đội IT Việt Nam

Cập nhật Cursor và GitHub Copilot lên bản mới nhất. Hai sản phẩm này đã vá, việc cập nhật là rẻ nhất.
Nếu dùng Codex hoặc VS Code: rà lại danh sách project đã trust. Kiểm tra cả file HTML và file cấu hình trong project.
Không mở link file:// do chính AI gợi ý. Đây là bước một cú click trong kịch bản tấn công.
Không bật auto-run với allowlist rỗng. Cho phép chạy lệnh không giới hạn là để mở cửa cho payload.
Đừng để SSH key, token npm và file .env thẳng vào thư mục làm việc. Dùng SSH agent hoặc secret manager.
Bật auto-update trên máy dev. Bản vá đến muộn một ngày là một ngày lỗ hổng còn mở.

Về kiến trúc, xem bài 5 lớp phòng thủ cho AI agent — tách workspace, chạy agent trong container, không để secret nằm trên máy dev.

Ba tin khác đáng biết: quota OpenAI · DeepSeek Super-agent · Prefab UI CVSS 10.0

OpenAI gộp quota ChatGPT và Codex từ tháng 12/2026. Trang trợ giúp của OpenAI cập nhật ngày 31/10 nói gói Plus, Pro và Business sẽ dùng chung một hạn mức, tính theo token. Instant chat không trừ hạn mức. OpenAI chưa công bố số token mới, chưa có ngày cụ thể trong tháng 12, và chưa nói các gói khác có vào hay không.

DeepSeek mở mã nguồn “Super-agent” prototype. Repo dsh-superagent-prototype có 7.090 sao và 713 fork tính đến 01/11/2026. Agent nghe GitHub và Feishu, tự mở work item, rồi trả lời bằng pull request. README tự ghi: đây là research prototype, không phải sản phẩm chính thức của DeepSeek.

Prefab UI: CVE-2026-120338, CVSS 10.0. CNA JFROG công bố CVE và advisory JFSA-2026-001699278 cùng ngày 01/11/2026. Lỗ hổng nằm ở sandbox Generative UI: code Python do LLM viết chạy trong Pyodide rồi thoát ra subprocess Deno với quyền đọc/ghi file. Bản bị ảnh hưởng là prefab-ui từ 0.14.0 đến trước 0.21.0; bản 0.21.0 đã vá. Nhưng chưa có báo cáo khai thác ngoài đời, chưa có PoC công khai, NVD còn ở trạng thái “Received”. Nếu team bạn tự host MCP server, hãy nâng lên 0.21.0 và bật xác thực.

Về rủi ro đưa agent vào quy trình thật, bài rủi ro khi đưa AI agent vào quy trình thật có phần phân tích riêng. Bạn có thể nối tiếp từ bài an ninh mạng Việt Nam tuần trước.

Nguồn tham khảo

Forever Security, EMBRACE (29/10/2026) — https://forever.security/blog/embrace-hacking-5-ai-assistants-embedded-browsers
Forever Security, EMBRACE Technical Overview (29/10/2026) — https://forever.security/blog/embrace-hacking-5-ai-assistants-embedded-browsers-technical
The Register (29/10/2026) — https://www.theregister.com/security/2026/10/29/researchers-find-bugs-in-5-ai-developer-tools-with-openai-and-microsoft-flaws-still-unpatched/5306508
Help Net Security (29/10/2026) — https://www.helpnetsecurity.com/2026/10/29/research-ai-assistant-browser-vulnerabilities/
Hackread (29/10/2026) — https://hackread.com/embrace-flaws-ai-coding-tools-code-execution-theft
OpenAI Help Center (31/10/2026) — https://help.openai.com/en/articles/20001625-understanding-chatgpt-and-codex-usage-limits
GitHub, dsh-superagent-prototype (31/10/2026) — https://github.com/deepseek-ai/dsh-superagent-prototype
GitHub, deepseek-harness (13/08/2026) — https://github.com/deepseek-ai/deepseek-harness
Bloomberg (01/11/2026) — https://www.bloomberg.com/news/articles/2026-11-01/deepseek-drops-enhanced-coding-agent-with-aim-to-rival-anthropic
cve.org, CVE-2026-120338 (01/11/2026) — https://www.cve.org/CVERecord?id=CVE-2026-120338
JFrog, JFSA-2026-001699278 (01/11/2026) — https://research.jfrog.com/vulnerabilities/prefab-ui-is-vulnerable-to-remote-code-execution-via-a-pyodide-js-bridge-to-deno-cve-2026-120338-jfsa-2026-001699278
Prefab docs, Generative UI (sau 26/10/2026) — https://prefab.prefect.io/docs/concepts/generative-ui