Cuando un proveedor se niega a corregir una vulnerabilidad, los investigadores enfrentan una decisión difícil: guardar silencio y dejar a los usuarios expuestos, o hacer público el hallazgo y proporcionar a los defensores la información que necesitan. Mindgard eligió la segunda opción con una vulnerabilidad zero-day que afecta a Cursor, el editor de código impulsado por IA que se ha convertido en una herramienta indispensable para muchos equipos de ingeniería.
El fallo permite que un actor malicioso elabore un prompt que cause que el agente de IA de Cursor ejecute comandos arbitrarios en la máquina del desarrollador. Como Cursor opera con los mismos privilegios del sistema que el desarrollador que lo ejecuta, el alcance del daño es significativo — ejecución de código, acceso a archivos y posible movimiento lateral dentro del entorno de desarrollo están todos en juego.
El vector de ataque es la inyección de prompts: instrucciones maliciosas ocultas dentro del contenido que lee la IA — piensa en un README, un comentario en el código o un archivo de dependencias — que secuestran el comportamiento del modelo. No se trata de una clase teórica de ataque. Es cada vez más la técnica preferida para comprometer sistemas de IA agentes que actúan sobre datos externos sin sanitizarlos.
Mindgard reportó el problema a los mantenedores de Cursor y, después de que el proveedor se negara a emitir un parche o proporcionar un cronograma, optó por la divulgación pública completa. La decisión sigue un precedente establecido pero incómodo en la investigación de seguridad: cuando la divulgación coordinada falla, la transparencia se convierte en la única defensa del usuario.
Si utilizas Cursor en modos agentes o autónomos — donde navega archivos, ejecuta comandos de terminal o instala paquetes — trata cualquier contenido externo que procese como entrada no confiable. Desactiva las características de ejecución autónoma cuando trabajes con repositorios de terceros o bases de código desconocidas. En términos más amplios, este caso es un recordatorio de que las herramientas de codificación con IA heredan toda la superficie de ataque del modelo subyacente más los permisos del usuario que las ejecuta: una combinación que merece el mismo rigor de modelado de amenazas que aplicarías a cualquier proceso privilegiado en tu sistema.