Cursor rompe il sandbox e apre la macchina ai comandi iniettati
Il punto debole non è l’errore dell’agente, ma il presupposto che il sandbox basti a contenerlo. Qui un contenuto esterno già letto dall’assistente può fargli scrivere dove non dovrebbe, fino a spegnere il meccanismo che limita i comandi successivi e trasformare un input non fidato in esecuzione sulla macchina dello sviluppatore.
Cato AI Labs ha segnalato due zero-day, CVE-2026-50548 e CVE-2026-50549, entrambi corretti in Cursor 3.0; tutte le versioni precedenti restano esposte. Le due falle permettono una prompt injection zero-click tramite pagine web o servizi collegati via MCP, e portano il terminale dell’agente a uscire dal sandbox e a correre senza più isolamento.
Per i team che usano Cursor con web search, integrazioni MCP o altre sorgenti esterne, il confine tra leggere e agire non è più affidabile: il contenuto esterno va trattato come ostile perché può alterare il guardrail stesso dell’assistente.