Betroffen ist der KI-gestützte Code-Editor Cursor in seiner Desktop-Variante. Die Anwendung führte sogenannte Hook-Befehle aus, die in einer Konfigurationsdatei innerhalb des geöffneten Arbeitsbereichs definiert sind, ohne dass der Nutzer dies eigens bestätigen musste. Ein präparierter Arbeitsbereich – etwa ein aus einer fremden Quelle geöffnetes Projekt – oder eine Datei, die der KI-Agent selbst erzeugt hat, konnte damit lokale Kommandos hinterlegen. Diese wurden im Benutzerkontext ausgeführt, sobald ein Arbeitsdurchgang des Agenten endete. Auf diesem Weg ließ sich die Sandbox-Beschränkung umgehen, ein dauerhafter Zugriff über einzelne Agentendurchläufe hinaus einrichten, auf lokale Daten zugreifen oder eine weitergehende Kompromittierung des Systems einleiten. Gefährdet sind vor allem Entwickler, die fremde oder nicht vertrauenswürdige Projektverzeichnisse im Editor öffnen, da die Ausführung ohne sichtbare Rückfrage erfolgte.