2026年10月29日、セキュリティ会社のForever Securityが、AIの開発ツール5つに組み込まれた「内蔵ブラウザ」の脆弱性をまとめた研究「EMBRACE（エンブレイス）」を公開しました。対象はCursor・GitHub Copilot・Codex・VS Code・Claude Desktopで、10月29日時点で修正が済んでいない製品もあります。
当記事では、公式の発表と報道をもとに、何が起きるのか、自分が当てはまるかの確かめ方、そして使っていないAIアプリを消す手順を、AIオタク編集部が実際にやった片づけも交えてAI初心者向けにわかりやすく解説します。
AI開発ツールの内蔵ブラウザに脆弱性「EMBRACE」（2026年10月29日）
Forever Securityの発表
内蔵ブラウザとは、AIの開発ツールの中でWebページやHTMLのファイルを表示する、小さなブラウザのことです。AIが作った画面の確認などに使われます。
Forever Securityによると、5つの製品はどれも、AIのエージェントが使いやすいように内蔵ブラウザに機能を足した結果、ふつうのブラウザが守っているルールを破っていたとされています。研究が挙げたルールは「ページはパソコンでコマンドを動かせない」「開いたファイルは、ほかのファイルを読めない」「ページはアドレスバーを書き換えられない」の3つです。
>>Forever Security公式ブログ「EMBRACE：主要5つのデスクトップAIアシスタントの内蔵ブラウザをどう破ったか」（編集部訳・英語）
どうやってファイルが抜き取られるのか
研究で示された、いちばん怖い流れは次のとおりです。
- 攻撃者が、ふつうの財務レポートに見せかけたプロジェクト（作業フォルダ）を用意する
- 利用者がAIに「READMEのとおりにセットアップして」と頼む
- AIが、プロジェクトの中のHTMLファイルへのリンクを出してくる
- 利用者がそのリンクを1回クリックすると、内蔵ブラウザで開いたページが裏でスクリプトを動かし、フォルダの外のファイルまで読み取る
研究者の検証では、SSH鍵（サーバーに入るための鍵）・.env（パスワードなどを書いた設定ファイル）・npmのトークン・hostsファイルが読み取られたとされています。AIが出したリンクなので、つい信じてクリックしてしまうところが落とし穴です。
製品ごとの状況（10月29日時点）
| 製品 | 起きること | 対応 |
|---|---|---|
| Cursor | ページに隠したコマンドをAIが実行しようとし、Enter1回の許可で動く（サンドボックスに止められるとAIが自分で外した） | 10月1日に修正済み |
| GitHub Copilot | アドレスバーを偽の表示に見せかけられる（偽のログイン画面に使われうる） | 1.1.29（10月13日）で修正済み |
| Codex | ローカルのファイルから、ディスク全体を読める | 未修正（OpenAIからの返信なし） |
| VS Code | フォルダの制限をすり抜けて、ディスク全体を読める | Workspace Trustで守られる範囲だとしてMicrosoftが却下（未修正） |
| Claude Desktop | フォルダの制限をすり抜けて、ディスクを読める | Forever Securityの報告は却下、翌日に別の会社（Noma Security）が出した報告は有効として受理。修正されたかは書かれていない |
※2026年10月30日時点・Forever Security公式ブログ、Help Net Security（2026年10月29日）の報道より編集部が整理。Codexは、内蔵ブラウザがあるデスクトップのアプリの話です
MicrosoftとAnthropicは、「このフォルダを信頼しますか？」の画面（Workspace Trust）で利用者が信頼を選んだ時点で、その中のファイルは信頼済みという立場です。これに対して研究者は、AIツールを使うには結局「信頼する」を押すしかないため、守りになっていないと指摘しています。
なお、2026年10月30日時点で、実際に悪用されたという報告は見当たりません。
>>研究者がVS Code・Cursor・Copilot・Codex・Claude Desktopの内蔵ブラウザを破った（Help Net Security・編集部訳・英語）
EMBRACEの対象？確かめ方と今すぐできる対策
ターミナルで使うClaude Code・Codex CLIは研究の対象外
今回の対象は、内蔵ブラウザがある「デスクトップのアプリ」です。ターミナル（黒い画面）で使うClaude CodeやCodex CLIは、研究で名前が挙がった5製品に入っていません。内蔵ブラウザがなく（Codex CLIはOpenAIの公式の案内で確認）、今回の手口の入口がありません。
| 使っているもの | 今回の件 |
|---|---|
| ターミナルのClaude Code・Codex CLI | 研究の対象外 |
| Cursor・GitHub Copilot | 最新版に更新する（Cursorは10月1日、Copilotは1.1.29で修正） |
| Codexのアプリ・VS Code・Claude Desktop | 使い方に注意（下の対策を参照） |
※研究で調べられたのは5製品だけです。WindsurfやJetBrainsなど、ほかのAI開発ツールは調べられていませんが、同じ作りなら同じ問題がありえます
Macで、入っているアプリを確かめる
Finderで「アプリケーション」フォルダを開き、次のアプリが入っていないかを見ます。
- Claude（Claudeのデスクトップアプリ）
- Codex（Codexのデスクトップアプリ。ChatGPTのデスクトップアプリから使っている場合は「ChatGPT」）
- Visual Studio Code
- Cursor
- Antigravity（GoogleのAI開発ツール。今回の研究の対象ではないが、AIがChromeを操作する機能がある）
編集部のMacで確かめたところ、ほとんど使っていないClaudeのデスクトップアプリと、まったく使っていないAntigravityが入っていました。ふだんの作業はターミナルのClaude Codeで足りているので、この2つは消すことにしました。
今すぐできる対策6つ
- CursorとGitHub Copilotは最新版に更新する
- CodexのアプリやVS Codeで「信頼する」を押したプロジェクトを見直し、知らないものの中のHTMLは開かない
- AIが出したリンクを、そのままクリックしない。とくにCodexのアプリとVS Codeで、プロジェクトの中のHTMLを内蔵ブラウザで開くのは今はやめておく
- 知らない人のプロジェクトを「READMEのとおりにセットアップして」とAIに丸投げしない
- Webページを見るときは、内蔵ブラウザではなくChromeやEdgeなどふだんのブラウザで開く
- .envのパスワードやトークンは使い回さず、もれたらすぐ無効にできるようにしておく。SSH鍵にはパスフレーズ（鍵の合言葉）を付ける
そして、使っていないAIアプリは消してしまうのがいちばん確実です。入っていなければ、攻撃の入口になりません。
▶ 関連記事：Claude Codeの拡張機能にバックドア！Cursorで入れた人の確認方法と対処
使っていないAIアプリの消し方（Mac）
ここからは、編集部がClaudeのデスクトップアプリとAntigravityを消したときの手順を紹介します。ポイントは、アプリ本体を消しても、アプリが使っていたデータは自動では消えないことです。
1. アプリを終了する
消したいアプリが開いていたら、画面上のメニューのアプリ名から「〇〇を終了」を選んで閉じます。開いたままだと、「使用中のため削除できません」と出ることがあります。
2. アプリ本体をゴミ箱に入れる
Finderで「アプリケーション」フォルダを開き、消したいアプリを右クリックして「ゴミ箱に入れる」を選びます。Macのパスワードを聞かれたら入力します。
Claudeのデスクトップアプリを消す場合、「Claude Code URL Handler」という似た名前のアプリは、ターミナルのClaude Codeの部品なので残します。
3. 残ったデータの置き場所も消す
アプリのデータは、ふだん見えない「ライブラリ」フォルダなどに残っています。Finderを手前に出して「command＋shift＋G」を押すと、行き先を入力する欄が出るので、場所を貼り付けてreturnキーを押します。画面上のメニューの「移動」→「フォルダへ移動」からも同じ欄を開けます。
| アプリ | データの置き場所 | 編集部のMacでの大きさ |
|---|---|---|
| Claude（デスクトップアプリ） | 「~/Library/Application Support/Claude」フォルダ | 約3.2GB |
| Antigravity | 「~/.gemini」の中の「antigravity」フォルダ | 約68MB |
※2026年10月30日時点・編集部のMacで確認。アプリの版や使い方によって、場所や大きさは変わることがあります
編集部が実際にやって、つまずいたところが2つあります。
- Claudeは、アプリ本体もデータのフォルダも同じ「Claude」という名前で、「さっき消したのに、まだある？」と混乱しやすい。アプリ本体は「アプリケーション」に、データは「Application Support」の中にある別のもの
- Antigravityのデータがある「.gemini」フォルダには、ターミナル版の「Gemini CLI」の設定も入っている。Gemini CLIを使っているなら、「.gemini」ごと消さずに、中の「antigravity」フォルダだけを消す
ターミナルのClaude Codeは、本体も設定も別の場所（ホームフォルダの「.claude」など）にあるので、Claudeのデスクトップアプリのデータを消しても影響はありませんでした。ふつうのチャットの履歴はclaude.aiのアカウントに保存されているので、ブラウザからも見られます。
4. ゴミ箱を空にする
Dockのゴミ箱を右クリックして「ゴミ箱を空にする」を選べば完了です。
ChromeのClaudeの拡張機能を入れている人は、Chromeを一度終了して開き直しておきましょう。編集部のMacでは、アプリを消したあとも、拡張機能とアプリをつなぐ部品がChromeを開き直すまで動いたままになっていました。
残すアプリは「使い方」で守る
編集部では、テキストを見るのに使っているVS Codeは残しました。研究で示された手口は、内蔵ブラウザでHTMLやWebページを開いたときのもので、テキストを見るだけなら当てはまりません。中でHTMLを開いたり、中のAIが出したリンクを踏んだりしないよう気をつけます。VS Codeは、Microsoftが今回の報告を却下していて未修正のため、更新ではなく使い方で気をつける必要があります。
※Windowsでは「設定」→「アプリ」→「インストールされているアプリ」から消せます。データの置き場所はMacと違うので、各アプリの公式の案内で確かめてください
【まとめ】EMBRACE対策は、AIのリンクをうのみにせず、使わないAIアプリを消すこと
EMBRACEは、AIの開発ツールの内蔵ブラウザが、ふつうのブラウザより守りが弱いことを示した研究です。CursorとGitHub Copilotは更新で直りましたが、CodexのアプリとVS Codeは10月29日時点で未修正、Claude Desktopも修正の時期は分かっていません。AIが出したリンクをそのままクリックしないこと、そして使っていないAIアプリはデータまで消しておくことで、攻撃の入口を減らしておきましょう。
AIの技術・サービス・ルールは変化が速く、本記事の予測や見通しは将来を保証するものではありません。各サービスの仕様・料金は公式サイトで最新の情報をご確認ください。本記事の情報は2026年10月30日時点のものです。
