Die Schwachstelle betrifft den KI-gestützten Code-Editor Cursor, genauer den Umgang mit Schreibvorgängen, die der eingebaute KI-Agent auslöst. Terminalbefehle des Agenten laufen standardmäßig in einer abgeschotteten Umgebung (Sandbox). Vor einem Schreibzugriff prüft der Editor, ob der Zielpfad tatsächlich innerhalb des Arbeitsverzeichnisses liegt, indem er den Pfad auflöst. Schlägt diese Auflösung fehl, greift er jedoch auf den ursprünglichen Pfad zurück und schreibt ohne Rückfrage. Ein bösartiger Agent kann diese Schwäche gezielt ausnutzen: Er legt im Arbeitsverzeichnis eine symbolische Verknüpfung an, die nach außen zeigt, und erzwingt das Fehlschlagen der Pfadauflösung – etwa indem das Ziel nicht existiert oder die Leseberechtigung entzogen wird. Dadurch schreibt der Agent durch die Verknüpfung an einen beliebigen Ort außerhalb des Arbeitsverzeichnisses, ohne dass der Nutzer zustimmt. So lassen sich unter den Rechten des Nutzers beliebige Dateien anlegen. Wird dabei etwa die Sandbox-Hilfskomponente überschrieben, laufen spätere Befehle ohne Sandbox – was auf eine Codeausführung außerhalb der Abschottung hinausläuft, ohne weitere Nutzerinteraktion außer einer harmlos wirkenden Eingabe.