谬误深信：克隆仓库即可触发猖狂代码奉行

Windows 版 Cursor 被曝存在严重安全谬误，波折者只需在代码仓库根目次植入名为 git.exe 的文献，当征战者在 Cursor 中开该仓库时，坏心代码将以征战者权限立即奉行。统统这个词过程需证据、申饬弹窗，且在神志保合手开时辰会合手续反复驱动。

该谬误属于 CWE-426（不受信任的搜索旅途）。Cursor 在加载神志时会调用 Git 内省敕令定位仓库根目次，由于 Windows 系统默许先搜索刻下目次，Cursor 会无理奉行波折者提供的坏心二进制文献，而非系统法的 Git 要领。这意味着波折者可窃取 SSH 密钥、云令及 CI/ 活水线探望权限。安全公司 Mindgard 通过重定名计较器应用为 git.exe 得胜复现了该谬误。

诞生与反应：七个月千里默后的静默补丁

媒体报谈指出，Cursor 已于 2026 年 7 月 13 日偷偷诞生此问题，比 Mindgard 发布圆善技巧敷陈早天。干系词，结尾 7 月 17 日，官未发布任何安全公告，未分派 CVE 编号，也未讲演公众具体诞生版块。对于领有 700 万活跃用户、百万日活及十万企业付费订阅者的 Cursor 而言，无数未新用户仍处于风险之中且浑然不知。

这次败露历时七个月。Mindgard 于 2025 年 12 月 15 日次敷陈，初期遇到自动经由失及"信息"误判。尽管 HackerOne 后续证据谬误有，但 Cursor 面弥远未予恢复。与此同期，Cursor 却在 2026 年 2 月协作败露了另项 Git 钩子沙箱潜逃谬误。Mindgard 居品官 Aaron Portnoy 暗示，在屡次寻求现象新果后，被动聘任公开败露。

Cursor 在向媒体恢复时援用"共同牵扯模子"长沙钢绞线一米多少公斤，辩称客户引入受损内容的问题不在其谬误赏金领域内，但未讲明延伸诞生的原因。

伏击搪塞措施

立即新： 新至新构建版块是唯证据的缓解措施，尽管官未明确绚丽诞生版块号。

企业环境护： 若法立即新，解决员应部署 AppLocker 或 Windows App Control，基于旅途拒奉行征战者使命区目次下的 git.exe 文献。细心基于哈希的黑名单，因波折者可改二进制内容。

个东谈主征战者： 在应用新前，钢绞线仅在 Windows 沙盒或临时诬捏机中开不受信任的代码仓库。

MCP 袒露护： 根据 Adversa AI 败露，提议通过白名单戒指 MCP 职业器安设，并在网关处进犯 cursor://…/mcp/install URI 花式。

干系风险：DeepJack 波折与行业通病

在 Mindgard 败露次日，Adversa AI 发布了对于 Cursor 的另份敷陈，揭示了针对 cursor:// URL 案处理要领的" DeepJack "波折向量。波折者可通过构造坏心度贯穿，诓骗安设对话框的单行文本框讳饰尾部坏心敕令，或通过双重 URL 编码绕过考据，诳骗用户批准安设坏心 MCP 职业器。Cursor 虽称干系问题已在 4 月里面提交，但结尾 7 月中旬的新版块仍易受波折。

此类二进制植入及 URL 处理问题并非 Cursor 有。Cymulate 盘考发现，GitHub Copilot CLI、Gemini CLI 和 Codex 桌面应用均存在近似残障。GitHub 虽支付赏金但降严重进度，Google 承认问题但未发布补丁，OpenAI 则以"波折者需先领有系统探望权"为由关闭敷陈，这态度被指曲解了仅需克隆即可触发的波折践诺。

行业反想：AI IDE 的信任危险

跟着 AI 编码代理在征战者机器上注册自界说 URL 处理要领并得到末端、云凭证等权限，其波折面权贵扩大。Adversa AI 考查高慢，企业安全团队时常冷落这些处理要领的存在。近期，包括 GhostApproval 标记贯穿糟蹋和 HalluSquatting 包名幻觉在内的多项盘考，均指向 AI 编码用具的安全模子未能跟上其智商扩展的法子。

Coursera 问责赤字标明，部分 AI IDE 厂商将影响数百万用户的可复现猖狂代码奉行谬误置于征战之后。正如 Portnoy 所言："信任需要问责，问责需要疏导。"当基本的安全现象新皆难以得到时，用户对平台的信任基础正面对严峻挑战。

【星途科讯 图文丨宇洲 发于 ZAKER 科技，转载请注明出处】天津市瑞通预应力钢绞线有限公司相关词条:不锈钢保温     塑料管材设备     预应力钢绞线    玻璃棉板厂家    pvc管道管件胶

1.本网站以及本平台支持关于《新广告法》实施的“极限词“用语属“违词”的规定，并在网站的各个栏目、产品主图、详情页等描述中规避“违禁词”。
2.本店欢迎所有用户指出有“违禁词”“广告法”出现的地方，并积极配合修改。
3.凡用户访问本网页，均表示默认详情页的描述长沙钢绞线一米多少公斤，不支持任何以极限化“违禁词”“广告法”为借口理由投诉违反《新广告法》，以此来变相勒索商家索要赔偿的违法恶意行为。