Electron-Check auf dem Mac: Claude punktet, Cursor enttaeuscht
Ein Vergleich von sechs Desktop-Apps auf Electron-Basis zeigt grosse Unterschiede bei der Absicherung des Frameworks. Claude erfuellt alle sechs Pruefpunkte, Cursor keinen einzigen und Postman nur einen. Ein erneuter Test mit den neuesten Versionen ergab keine Aenderung.
Aktualisiert am 21. Oktober 2026: erneut getestet mit den neuesten Versionen, Cursor 3.26.13 und Postman 12.33.2 (zuerst getestet mit Cursor 3.1.15 und Postman 11.93.0). Die Ergebnisse haben sich nicht geändert.
Drei beliebte Desktop-Anwendungen basieren auf demselben Framework, Electron, sichern es aber sehr unterschiedlich ab. Auf meinem Mac hat Claude 3.1623.0 alle sechs Härtungsschalter aktiviert, die ich geprüft habe, Postman 12.33.2 hat einen aktiviert und Cursor 3.26.13 keinen einzigen.
Diese Schalter entscheiden, ob ein anderes Programm auf deinem Rechner im Hintergrund Code mit der Identität, den Berechtigungen und den angemeldeten Sitzungen der App ausführen kann. Die Prüfung erforderte pro App einen einzigen Lesebefehl und keinen besonderen Zugriff.
Fuses sind Ein-/Aus-Schalter, die beim Packen der App in das Framework-Binary einer Electron-Anwendung geschrieben werden. Anders als Einstellungen im Code der App lassen sie sich zur Laufzeit nicht ändern, sodass sie eine einfache und zuverlässige Möglichkeit sind, riskante Funktionen vor dem Ausliefern zu entfernen.
Die sechs Schalter, die ich geprüft habe, und die sichere Einstellung für jeden davon:
Electrons eigene Sicherheitsrichtlinien empfehlen diese gehärtete Konfiguration; sie ist nicht der Standard des Frameworks, daher muss jeder Anbieter sie aktiviert übernehmen.
Ich habe REA (Reverse Engineer Anything) verwendet, einen Open-Source-MCP-Server, gesteuert über Claude Code. Sein Werkzeug inspect_electron_fuses findet den Fuse-Block im Electron-Framework-Binary jeder App und meldet das rohe Byte jedes Fuses.
Getestete Versionen auf macOS 15.1 am 21. Oktober 2026: Claude 3.1623.0, Cursor 3.26.13, Postman 12.33.2 (arm64-Build).
Claude hat jede Prüfung bestanden, Postman eine, und Cursor keine.
Alle drei lassen GrantFileProtocolExtraPrivileges aktiviert; ich habe es aus der Wertung herausgelassen, weil das Deaktivieren Apps zerstören kann, die lokale Dateien laden.
Diese Lücken ermöglichen niemandem, in deinen Mac einzudringen; ein Angreifer benötigt bereits Code, der als dein Benutzer läuft. Was sich ändert, ist, was dieser Code anschließend tun kann.
Das Ergebnis von Cursor hat einen Kontext. Es basiert auf VS Code, dessen Extension Host historisch davon abhing, Electron als Node auszuführen, sodass das Abschalten von RunAsNode keine Einzeiler-Änderung ist. Das erklärt es, macht aber die anderen fünf Einstellungen nicht überflüssig.
Anbieter stufen diese Klasse üblicherweise als geringen Schweregrad ein, und ich stimme zu, dass es sich um Härtung handelt und nicht um einen Notfall. Für einen KI-Code-Editor und einen API-Client ist es dennoch relevant: Beide speichern Quellcode, API-Schlüssel und Tokens.
Du kannst dieselbe Prüfung in einer Minute durchführen, mit oder ohne KI-Agent.
Wenn du eine Electron-App auslieferst, setze die Fuses beim Packen mit @electron/fuses (Electron Forge und electron-builder unterstützen beide). Aktiviere ASAR integrity und OnlyLoadAppFromAsar gemeinsam und teste deinen Auto-Updater sowie alle nativen Module nach jeder Änderung.
Dies ist der erste in einer Serie von Analysen alltäglicher Desktop-Anwendungen. Als Nächstes verfolge ich, wie eine dieser Apps Daten über das Preload-Skript und IPC zwischen ihrer Web-Seite und dem Betriebssystem austauscht.
Wenn du eine Electron-App entwickelst und denselben Check darauf ausgeführt haben möchtest, mit einem kurzen Bericht, melde dich. Abonniere, um die nächste Analyse zu erhalten.
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
Updated October 21, 2026: re-tested on the latest releases, Cursor 3.26.13 and Postman 12.33.2 (first tested on Cursor 3.1.15 and Postman 11.93.0). The results did not change.
Three popular desktop apps run on the same framework, Electron, but lock it down very differently. On my Mac, Claude 3.1623.0 turned on all six hardening switches I checked, Postman 12.33.2 turned on one, and Cursor 3.26.13 turned on none.
Those switches decide whether another program on your machine can quietly run code with the app's identity, permissions and signed-in sessions. Checking them took one read-only command per app and no special access.
Fuses are on/off switches written into an Electron app's framework binary when the app is packaged. Unlike settings in the app's code, they can't be changed at runtime, so they are a cheap, reliable way to remove risky features before shipping.
The six I checked, and the safe setting for each:
Electron's own security guidance recommends this hardened configuration; it is not the framework's default, so each vendor has to opt in.
I used REA (Reverse Engineer Anything), an open-source MCP server, driven from Claude Code. Its inspect_electron_fuses tool finds the fuse block inside each app's Electron Framework binary and reports every fuse's raw byte.
Versions tested on macOS 15.1 on October 21, 2026: Claude 3.1623.0, Cursor 3.26.13, Postman 12.33.2 (arm64 build).
Claude passed every check, Postman passed one, and Cursor passed none.
All three leave GrantFileProtocolExtraPrivileges on; I left it out of the score because disabling it can break apps that load local files.
These gaps don't let anyone break into your Mac; an attacker already needs code running as your user. What they change is what that code can do next.
The Cursor result has context. It's built on VS Code, whose extension host has historically depended on running Electron as Node, so turning RunAsNode off isn't a one-line change. That explains it; it doesn't make the other five settings necessary.
Vendors usually rate this class as low severity, and I agree it's hardening rather than an emergency. It still matters for an AI code editor and an API client: both hold source code, API keys and tokens.
You can run the same check in a minute, with or without an AI agent.
If you ship an Electron app, flip the fuses at package time with @electron/fuses (Electron Forge and electron-builder both support it). Turn on ASAR integrity and OnlyLoadAppFromAsar together, and test your auto-updater and any native modules after each change.
This is the first in a series of teardowns of everyday desktop apps. Next, I'll follow how one of these apps moves data between its web page and the operating system, through the preload script and IPC.
If you build an Electron app and want the same check run on it, with a short report, get in touch. Subscribe to get the next teardown.