最近，安全公司 Mindgard 在对 Cursor IDE 进行安全研究时，发现了一项令人震惊的0day 漏洞。这漏洞的严重性在于，当用户在 Windows 系统上打开一个包含恶意 `git.exe` 的仓库时，Cursor IDE 会在毫无提示的情况下自动执行该文件，甚至不需要用户的任何交互。这一问题的出现引发了对 Cursor 安全实践的广泛质疑。
据了解，Cursor IDE 作为一款广受欢迎的 AI 辅助开发环境，拥有超过700万活跃用户和5万多家公司在使用。但在面对这样一个明显的安全隐患时，Cursor 团队的响应却显得极其缓慢。Mindgard 首次报告该漏洞是在2025年12月15日，之后的六个月里，他们多次跟进，却始终未能得到有效的修复反馈。令人不解的是，在此期间，Cursor 仍然持续发布新版本，但漏洞却迟迟未被解决。
该漏洞的原理非常简单:Cursor 在加载项目时，会在多个位置搜索 Git 二进制文件，其中之一便是项目的根目录。如果攻击者将恶意的 `git.exe` 文件放置在这里，Cursor 就会自动执行它。为了演示这一漏洞，Mindgard 甚至通过将 Windows 计算器重命名为 `git.exe` 并放入仓库，成功使 Cursor 多次调用这个程序，造成了窗口不断叠加的混乱场景。
对于当前的 Cursor 用户来说，尽快采取行动是非常必要的。对于使用 Windows 系统的企业用户，建议管理员使用 AppLocker 等工具禁止从工作区目录执行可疑的可执行文件。而对于个人用户，建议在未修复之前，最好仅在隔离的虚拟机或沙盒环境中打开不受信任的仓库，以避免潜在的安全风险。
总的来说，这一事件不仅突显了 Cursor IDE 在安全管理上的漏洞，也引发了界对软件安全沟通与用户保护的深刻反思。面对日益复杂的网络安全环境，开发者们必须时刻保持警惕，确保自己的工具和环境是安全的。
Cursor 这个 0day 漏洞到底有多危险？
漏洞会让 Cursor 在 Windows 上打开含恶意 git.exe 的仓库时自动执行该文件，且不需要用户确认。攻击者可借此在本地静默运行代码，风险很高，尤其适合通过仓库投递进行利用。
普通用户如何临时降低 Cursor 漏洞风险？
在官方修复前，尽量不要直接打开不可信仓库；建议只在隔离的虚拟机或沙盒环境中使用。若是 Windows 企业环境，可通过 AppLocker 等策略限制工作区目录中的可执行文件运行。
这个漏洞为什么会被 Cursor 自动执行？
原因在于 Cursor 加载项目时会在多个位置搜索 Git 二进制文件，其中包括项目根目录。若攻击者把恶意 git.exe 放在仓库根目录，Cursor 可能优先找到并直接执行，从而触发代码执行。
打开恶意仓库为何会被静默执行？
因为工具链可能优先信任仓库内的可执行文件或脚本路径，导致系统在解析、索引或调用辅助程序时误触发。防护上要禁用不可信二进制自动执行、隔离工作区并限制 PATH 劫持。
AI IDE该怎么做供应链防护？
要把仓库内容、插件、依赖和外部命令都视为不可信输入，默认沙箱化运行。再配合签名校验、最小权限、进程监控和安全告警，才能把“打开即中招”的风险降下来。
