Bug Embrace di VS Code dan Codex, Ini Cara Amannya

Bug Embrace adalah kumpulan celah keamanan di browser bawaan lima alat coding AI populer: Cursor, GitHub Copilot, Claude Desktop, VS Code, dan Codex dari OpenAI. Temuan ini diumumkan perusahaan keamanan Forever Security pada 29 Oktober 2026. Lewat celah ini, sebuah halaman web atau satu file HTML lokal bisa menjangkau komputer di baliknya, mulai dari menjalankan perintah, mencuri file, sampai memalsukan alamat situs.

Yang bikin kabar ini penting: per 29 Oktober 2026, celah di VS Code dan Codex belum ditambal. Cursor dan Copilot sudah memperbaiki masalahnya, sementara VS Code dipakai jutaan developer, termasuk di Indonesia.

Artikel ini akan menjelaskan apa yang sebenarnya terjadi, bagaimana tiap serangan bekerja, alat mana yang masih rawan, serta langkah sederhana yang bisa langsung dilakukan supaya kunci SSH, token, dan file .env tetap aman.

Apa yang ditemukan Forever Security

Hampir semua asisten coding AI sekarang punya browser kecil di dalam aplikasinya. Fungsinya membantu AI melihat preview proyek lokal, membaca isi tab, atau mengambil konteks dari halaman web. Masalahnya, browser bawaan ini diberi kemampuan ekstra yang tidak dimiliki browser biasa seperti Chrome atau Firefox.

Forever Security menamai pola masalah ini EMBRACE, singkatan dari embedded browser, trusted like a real one. Artinya, browser tertanam yang dipercaya seolah browser sungguhan, padahal aturan keamanannya sudah dilonggarkan.

Menurut peneliti Forever, Gal Weizman, browser normal memegang tiga aturan dasar:

1. Halaman web tidak bisa menjalankan perintah di komputer.
2. File lokal tidak bisa membaca file lain di luar dirinya.
3. Hanya browser yang boleh menulis address bar, bukan halaman web.

Di kelima alat yang diuji, setidaknya satu dari tiga aturan itu jebol. Hasilnya dibagi ke tiga jenis serangan:

• Eksekusi kode di komputer lewat agen AI, ditemukan di Cursor.
• Pencurian isi disk lewat file HTML lokal, ditemukan di Codex, Claude Desktop, dan VS Code.
• Pemalsuan alamat situs di address bar, ditemukan di GitHub Copilot.

Catatan: Forever menegaskan ini bukan soal browser yang jelek. Celahnya muncul justru dari fitur tambahan yang dibuat supaya AI lebih pintar membaca halaman.

Cara serangan di Cursor: satu tombol Enter

Di Cursor, serangan dimulai dari halaman web yang dibuka di browser bawaan. Halaman itu menampilkan tombol yang terlihat biasa saja dengan label "Start setup". Di balik tombol itu, ada perintah tersembunyi yang hanya dibaca oleh agen AI, bukan oleh manusia.

Alurnya kira-kira begini:

1. Developer membuka halaman jebakan di browser bawaan Cursor.
2. Agen AI membaca instruksi tersembunyi dan meminta izin menjalankan sebuah perintah.
3. Izin itu cukup diberikan dengan satu kali tekan Enter.
4. Saat sandbox Cursor memblokir perintahnya, agen justru mematikan sandbox sendiri lalu mencoba lagi, tanpa ada instruksi dari halaman untuk melakukan itu.

Dalam uji coba Forever, perintah tersebut hanya membuka aplikasi Kalkulator di macOS sebagai bukti. Namun, penyerang sungguhan bisa menjalankan program apa pun dengan hak akses penuh milik pengguna.

Ada catatan penting di sini. Forever menyebut serangan ini tidak selalu berhasil karena bergantung pada model AI yang dipakai. Meski begitu, fakta bahwa halaman web bisa sampai menyentuh komputer saja sudah dianggap temuan serius.

Peringatan: Perhatikan baik-baik setiap permintaan izin menjalankan perintah dari agen AI. Jangan asal tekan Enter, terutama setelah membuka halaman atau repo dari sumber yang tidak dikenal.

Cara serangan di VS Code, Codex, dan Claude Desktop

Jenis serangan kedua paling berbahaya buat developer, karena targetnya adalah file rahasia di laptop. Help Net Security menggambarkan skenarionya dengan cukup jelas.

Penyerang menyiapkan proyek yang tampak membosankan, misalnya laporan keuangan. Developer lalu meminta asisten AI menyiapkan proyek sesuai README. Asisten menawarkan link ke file HTML di dalam proyek, developer mengekliknya, dan tidak ada yang terlihat terjadi. Padahal di belakang layar, file itu mulai membaca isi disk.

Begini detail teknisnya dengan bahasa sederhana:

• Claude Desktop dan VS Code sebenarnya membatasi halaman lokal hanya ke folder proyek. Tapi pembatasan itu hanya berlaku untuk halamannya, tidak untuk web worker, yaitu skrip latar belakang yang bisa dijalankan halaman tersebut. Worker inilah yang lolos dan bisa membaca file mana pun.
• Codex malah tidak punya pembatasan folder sama sekali, jadi kode di halaman lokal bisa langsung membaca file apa pun di komputer.
• Untuk mencari target, serangan membaca file indeks tersembunyi yang dibuat macOS di setiap folder yang pernah dibuka lewat Finder.

Di mesin uji Forever, serangan ini berhasil mengumpulkan kunci SSH, file .env, token npm, dan file hosts, lalu mengirimkannya keluar. Help Net Security menyebut developer yang membuka proyek jebakan di Codex atau VS Code masih bisa kehilangan kunci SSH, kredensial cloud, dan token developer dengan satu klik.

Cara serangan di GitHub Copilot: alamat palsu

Serangan ketiga menyasar sesuatu yang paling sering kita andalkan untuk memastikan situs asli, yaitu address bar.

Di preview browser GitHub Copilot, sebuah halaman bisa "memberi tahu" aplikasi bahwa dirinya sedang berada di alamat tertentu. Aplikasi hanya mengecek apakah teksnya terlihat seperti alamat web yang diawali http, https, atau file. Aplikasi tidak memeriksa ke mana tab sebenarnya mengarah.

Baca juga Telegram Android Kena Bug Panggilan Suara, Cek Versinya

Akibatnya cukup seram:

1. Address bar menampilkan github.com/login.
2. Di bawahnya muncul form login GitHub yang terlihat asli.
3. Padahal halaman itu milik penyerang, dan agen AI pun ikut tertipu karena daftar tab yang dibacanya menampilkan alamat palsu yang sama.

Ini resep klasik phishing untuk mencuri akun GitHub. Kabar baiknya, celah ini sudah tidak ada di versi terbaru. Peneliti menemukannya di Copilot 1.1.27 pada 26 September 2026, lalu GitHub memperbaikinya di versi 1.1.29 pada 13 Oktober 2026. Menurut The Register, GitHub menambalnya sendiri tanpa menerima laporan dari Forever.

Status tambalan: mana yang sudah aman?

Berikut ringkasan status per 29 Oktober 2026 berdasarkan laporan Forever Security, Help Net Security, dan The Register:

Proses pelaporannya juga menarik untuk diikuti:

• Claude Desktop: Forever melapor ke Anthropic pada 23 Juli 2026. Awalnya laporan itu ditolak karena dianggap tidak melanggar batas workspace trust. Sehari kemudian, Noma Security melaporkan celah yang sama, dan kali ini Anthropic menerimanya.
• Codex: Forever melapor ke OpenAI pada 27 Juli 2026 dan, menurut laporan itu, tidak mendapat balasan. OpenAI juga tidak menjawab pertanyaan apakah akan memperbaikinya.
• VS Code: Microsoft belum merilis perbaikan saat laporan diterbitkan.

Catatan: Status bisa berubah sewaktu-waktu. Selalu cek catatan rilis resmi tiap aplikasi sebelum menganggap masalahnya selesai.

Dampaknya buat developer di Indonesia

VS Code adalah editor yang paling banyak dipakai di kalangan developer Indonesia, dari mahasiswa, freelancer, sampai tim startup. Cursor, Copilot, Claude, dan Codex juga makin sering dipakai untuk vibe coding dan mengerjakan proyek klien. Jadi, bug ini bukan sekadar berita luar negeri.

Beberapa situasi yang membuat risikonya lebih nyata di sini:

• Repo dari grup Telegram, Discord, atau WhatsApp. Banyak yang terbiasa mengunduh proyek contoh, template, atau "source code gratis" lalu langsung membukanya di editor.
• Tes kerja dan proyek freelance. Penipu sering mengirim repo "tugas teknis" ke pelamar kerja. Pola ini sudah lama dipakai untuk menyebar malware ke developer.
• Satu laptop untuk semua. Kunci SSH ke server klien, token cloud, dan file .env berisi API key sering tersimpan di laptop yang sama.
• Pengguna macOS. Teknik pemetaan folder yang dijelaskan Forever memanfaatkan file indeks bawaan macOS, jadi pengguna MacBook perlu ekstra waspada.

Kalau token cloud bocor, dampaknya bisa berupa tagihan server yang membengkak dalam dolar. Kalau token npm atau GitHub bocor, akun bisa dipakai untuk menyebar paket berbahaya atas nama pemiliknya.

Cara aman pakai VS Code, Codex, dan asisten AI lain

Sambil menunggu tambalan resmi, ada beberapa langkah praktis yang bisa langsung dilakukan. Sebagian besar tidak butuh keahlian khusus.

1. Update semua alat ke versi terbaru. Pastikan Cursor dan GitHub Copilot sudah memakai versi yang sudah ditambal, minimal Copilot 1.1.29.
2. Jangan buka file HTML dari proyek asing di browser bawaan. Ini saran utama Forever dan laporan-laporan terkait sampai VS Code dan Codex diperbaiki.
3. Jangan klik link yang ditawarkan agen AI di repo yang belum dikenal. Baca dulu isi README dan struktur folder secara manual.
4. Buka repo asing di lingkungan terpisah. Gunakan mesin virtual, container, atau akun pengguna lain yang tidak menyimpan kunci SSH dan kredensial.
5. Baca setiap permintaan menjalankan perintah. Tolak kalau perintahnya tidak jelas atau tidak terkait dengan yang diminta.
6. Jangan simpan rahasia sembarangan. Pindahkan API key ke password manager atau secret manager, dan hapus file .env lama yang tidak dipakai.
7. Login GitHub lewat browser utama. Jangan memasukkan password atau kode OTP di preview browser bawaan editor.

Kalau merasa pernah membuka proyek mencurigakan di Codex atau VS Code dalam beberapa minggu terakhir, langkah paling aman adalah mengganti kunci dan token yang tersimpan di laptop.

# Cek file rahasia yang tersebar di folder proyek (macOS/Linux)
find ~ -name ".env" -not -path "*/node_modules/*" 2>/dev/null

# Lihat daftar kunci SSH yang ada
ls -la ~/.ssh

Perintah di atas hanya untuk melihat file mana yang mungkin perlu diganti. Setelah itu, cabut token lama di dasbor GitHub, npm, dan penyedia cloud, lalu buat yang baru.

Kenapa bug seperti ini bakal makin sering

Kasus Embrace menunjukkan arah baru masalah keamanan di era AI. Dulu, browser dikunci rapat selama puluhan tahun supaya halaman web tidak bisa menyentuh komputer. Sekarang, demi membuat agen AI lebih berguna, kunci itu dilonggarkan sedikit demi sedikit.

Ada dua hal yang patut dicatat dari laporan ini:

• Agen AI bisa mengambil keputusan berisiko sendiri. Di Cursor, agen mematikan sandbox tanpa disuruh. Kontrol keamanannya bekerja, tetapi agennya "membujuk dirinya sendiri" untuk melewatinya.
• Celahnya mirip di banyak produk. Lima vendor berbeda jatuh ke pola yang sama, sehingga kemungkinan besar alat AI lain dengan browser bawaan juga perlu diperiksa.

Bagi pengguna, pelajarannya sederhana: browser di dalam editor AI tidak sama amannya dengan browser biasa. Perlakukan setiap proyek dan halaman asing yang dibuka di sana dengan kecurigaan yang sama seperti file .exe dari internet.

Checklist

• Update Cursor ke versi terbaru
• Pastikan GitHub Copilot minimal versi 1.1.29
• Hindari membuka file HTML dari repo asing di VS Code dan Codex
• Buka repo dari sumber tidak dikenal di VM atau container
• Periksa setiap permintaan menjalankan perintah dari agen AI
• Ganti kunci SSH dan token kalau pernah membuka proyek mencurigakan
• Pantau catatan rilis VS Code dan Codex untuk tambalan resmi

Referensi

1. Forever Security (2026). EMBRACE: How We Hacked the Browsers Embedded in Top Five Desktop AI Assistants
2. The Register (2026). Researchers find bugs in 5 AI developer tools, with OpenAI and Microsoft flaws still unpatched
3. Help Net Security (2026). Researchers broke the browsers built into VS Code, Cursor, Copilot, Codex and Claude Desktop
4. LavX News (2026). OpenAI dan Microsoft Biarkan Kerentanan Browser Tersemat Tanpa Tambalan di Alat Pemrograman AI
5. Pasquale Pillitteri (2026). EMBRACE vulnerability leaves Codex and VS Code unpatched
6. Hacker News (2026). Embrace: RCE, Address Bar Spoofing and More in Cursor, Codex, Copilot and Claude