​Cursor IDE 曝出致命 0day 漏洞！打開惡意倉庫即可輕鬆執行代碼！

Cursor IDE 0day 漏洞曝光：打开恶意仓库即自动执行代码，官方六个月内未修复

近日，安全研究公司 Mindgard 披露了 AI 辅助开发环境 Cursor IDE 一个极具危险的 0day 漏洞，瞬间在开发社群引发轩然大波。该漏洞允许攻击者在 Windows 平台上通过一个精心构造的仓库，在用户毫无察觉的情况下远程执行任意代码，整个过程无需任何点击或确认操作，其严重程度被业界视为“灾难级”安全缺陷。Cursor 是近年来增长最迅速的 AI 编程工具之一，拥有超过 700 万活跃开发者用户，并已被全球 5 万多家企业纳入研发流程。其核心卖点是在传统编辑器基础上深度整合 GPT-4 等大型语言模型，提供智能补全、代码生成和自然语言交互功能。

然而，Mindgard 在对其底层安全机制进行审查时发现，Cursor 在加载项目时会自动搜索系统中的 Git 可执行文件，而搜索路径中居然包含当前仓库的根目录。漏洞的原理极为简单：当用户通过 Cursor 打开一个攻击者准备好的仓库时，编辑器会在仓库目录内寻找 git.exe。一旦该位置存在恶意文件，Cursor 就会无差别地将其当作官方 Git 客户端进行调用，从而完成代码执行。攻击者只需要将一个被重命名的恶意程序（例如病毒、后门）放置在仓库中，任何打开该仓库的用户都会在毫不知情的情况下被感染。Mindgard 在概念验证演示中只是将 Windows 自带的计算器程序 calc.

exe 重命名为 git.exe 并放入仓库，结果每次 Cursor 尝试调用 Git 功能时都会弹出大量计算器窗口，导致界面瞬间崩溃，清晰展示了漏洞被触发的直接后果。据披露，Mindgard 于 2025 年 12 月 15 日首次通过官方渠道向 Cursor 团队提交了完整的漏洞报告，并附带了详细的复现步骤。然而，在随后的近六个月里，研究团队多次跟进询问修复进度，却始终没有得到实质性的回应或补丁安排。更令社区感到失望的是，在此期间 Cursor 仍然保持正常的版本迭代，陆续发布了多个包含新功能与性能优化的更新，但这一根本性的安全问题却被持续搁置。

Mindgard 指出，这一漏洞对于 Windows 用户尤其危险，因为 Windows 的可执行文件扩展名明确，恶意 git.exe 可以被直接执行。相比之下，macOS 和 Linux 系统因为文件权限与执行机制的差异受该特定攻击面的影响较小，但并不能完全排除风险。值得警惕的是，许多企业团队正在使用 Cursor 处理来自外部的代码仓库，如果攻击者将恶意文件隐藏在看似正常的开源库中，内部开发机器将瞬间沦陷。针对这一安全事件，安全专家建议，在漏洞被官方修复之前，Windows 企业用户应当立即启用 AppLocker 或类似白名单机制，全面禁止从用户工作区目录启动任何未签名的可执行程序。

对于个人开发者来说，最稳妥的方式是在沙盒、虚拟机或 Windows Sandbox 等隔离环境中打开任何来源不可信的仓库，避免将生产环境置于风险之下。此次事件也引发了对 AI 开发工具安全治理的广泛反思。随着 AI 辅助编程的普及，IDE 在追求智能化与效率的过程中，往往会在便利性与安全性之间做出看似微小的妥协，而这些妥协一旦被攻击者利用，就可能演化为极其严重的供应链攻击入口。Cursor 长达半年的沉默反应进一步表明，部分快速增长的初创公司可能未能建立与用户规模相匹配的安全响应体系，导致漏洞披露流程形同虚设。

耐人寻味的是，就在同一时间点，有用户发现 Cursor 开发版的模型选择菜单中已经出现了尚在预览阶段的“GPT-5.2”选项，显示团队仍在全力跟进前沿 AI 模型集成，而核心的安全漏洞却迟迟无人问津。这种资源分配的失衡让许多开发者感到不满，也令外界对该公司整体安全文化的成熟度产生疑问。截至本文发布，Cursor 官方仍未发布针对该漏洞的正式补丁或安全公告。Mindgard 方面表示，鉴于漏洞已存在严重实际风险且未得到合理处置，他们决定遵循负向披露原则，将技术细节公开以敦促开发商采取措施，并提醒用户尽快自查。

这一做法虽能推动用户自我保护，但也意味着攻击者已经获得了明确的攻击指引，漏洞被广泛利用的概率正在急剧上升。总体而言，这起事件既暴露出 AI 开发工具在安全管理上的盲区，也再次敲响了软件供应链安全的警钟。对于每天依赖 Cursor 编写代码的数百万开发者而言，尽快隔离不可信代码、严格限制可执行文件来源，已是目前唯一可行的防护手段。业界也普遍呼吁，所有 IDE 及开发工具开发者都应从这次事件中吸取教训，在迭代新功能的同时，将安全检测与响应机制视为产品生命的底线，而非锦上添花的附属品。