Уязвимость в Cursor AI позволяет скрытно запускать код из вредоносных репозиториев
В редакторе кода с поддержкой ИИ Cursor выявлена серьёзная уязвимость, которая может привести к выполнению произвольного кода при открытии специально подготовленного репозитория.
В чём проблема
Как выяснила Oasis Security, по умолчанию в Cursor отключена функция Workspace Trust, которая в Visual Studio Code защищает разработчиков от выполнения подозрительных задач при открытии проектов.
Из-за этого в Cursor VS Code-style задачи с параметром runOptions.runOn: "folderOpen" запускаются автоматически сразу после открытия папки. Достаточно добавить вредоносный файл .vscode/tasks.json, чтобы превращение обычного «open folder» в незаметный запуск кода произошло в контексте пользователя.
Исследователь Oasis Security Эрез Шварц отметил, что это может привести к краже учётных данных, изменению файлов или стать точкой входа для компрометации всей системы.
Риски для разработчиков
Cursor — форк Visual Studio Code с интеграцией ИИ, однако отключённая защита значительно расширяет поверхность атаки. Злоумышленники могут разместить заражённый проект на GitHub или другой платформе: при его открытии в Cursor вредоносные команды выполняются без предупреждения.
Эксперты советуют:
- включить Workspace Trust в настройках Cursor,
- открывать сомнительные проекты в другом редакторе,
- предварительно проверять репозитории перед использованием.
Широкий контекст: атаки на AI-инструменты
Инцидент с Cursor вписывается в растущую волну угроз для AI-сред разработки:
- Anthropic Claude Code уязвим к prompt injection, когда вредоносные комментарии убеждают систему игнорировать уязвимости;
- в дополнениях Claude Code обнаружена уязвимость обхода WebSocket-аутентификации (CVE-2025-52882, CVSS 8.8), позволявшая удалённое выполнение команд;
- уязвимости SQL-инъекций, обхода авторизации и XSS фиксировались в серверах Postgres MCP, Lovable, Base44 и других инструментах;
- в Ollama Desktop из-за некорректных CORS-настроек злоумышленник мог изменить ответы модели через «drive-by» атаку.
Эксперты Imperva подчёркивают: главная проблема не только в новых методах атак на ИИ, но и в классических ошибках безопасности. При развитии экосистемы AI-разработки защита должна быть базовым уровнем, а не второстепенной задачей.
