Cursor ist die KI-native IDE, in der jetzt jeder programmiert — ein VS Code‑Fork mit Agenten, die Ihr Projekt bearbeiten, indizieren und ausführen. 7 Mio+ Nutzer, 1 Mio+ zahlende, $60 Mrd Bewertung. Aaron Portnoy von Mindgard stellte fest, dass Cursor unter Windows, wenn es ein Projekt öffnet, nach einer Git‑Binärdatei in mehreren Pfaden sucht, und einer davon ist das Arbeitsbereich‑Root.
So: Klonen Sie ein Repo, öffnen Sie es in Cursor, und die git.exe, die im Root dieses Repos liegt, wird ausgeführt. Kein Klick. Keine Eingabeaufforderung. Keine Warnung. Und es löst sich in regelmäßigen Abständen erneut aus. Sein Proof-of-Concept war Calculator, umbenannt.
Sieben Monate nichts
Gemeldet am 15. Dezember 2025. HackerOne stuft es als außerhalb des Geltungsbereichs ein, öffnete es dann im Januar wieder. Februar bis Juni: jede Nachverfolgung wurde ignoriert. Mehr als 197 Cursor-Versionen veröffentlicht, immer noch ausnutzbar in Version 3.2.16. Am 14. Juli veröffentlichte Portnoy alles, weil ein Fix, der nie kommt, kein Fix ist.
Warum dieser hier schmerzt
HNs Gegenargument (142 Punkte Diskussion) lautet, dass Windows das Arbeitsverzeichnis bereits in PATH legt — ein Plattform‑Eigenheit, kein Cursor‑Fehler. Nur VS Code löst Git aus bekannten Systempfaden auf. Der Patch ist trivial. Das ist es, was das Schweigen zur Geschichte macht.
Der KI‑Winkel ist nicht der Exploit, sondern der Wirkungsradius: KI‑Coding‑Tools machten das „Klonen eines fremden Repos und dem Agenten erlauben, es zu betrachten“ zu einem normalen Dienstag. Jeder dieser Repos ist jetzt ausführbar.