何が起きたか
GitHub Security Advisories および NVD は CVE-2026-73217 (CVSS 7.7) および CVE-2026-73218 (CVSS 7.7) を公開しました。Cursor の Auto-Run Sandbox の 2 つの異なるサンドボックスエスケープ技術について説明し、AI コーディングエージェントが意図された格納を破ることが可能になり、ホスト上でコード実行が可能になります。
なぜ重要か
Cursor は最も広く展開された AI コーディングアシスタントの 1 つです。サンドボックスエスケープは、エージェント（信頼されていないリポジトリコンテンツ経由のプロンプトインジェクションで操作された可能性あり）が意図された分離をエスケープして開発者のホストマシン上で任意のコード実行を達成できることを意味します。これは直接このダイジェストが優先付けするエージェント実行攻撃クラスに関連しています。
攻撃経路
Auto-Run Sandbox モードで実行中の AI エージェントは、Python 仮想環境の実行可能ファイルを、Microsoft Python 拡張機能によってサンドボックス外で呼び出される悪意のあるラッパーに置き換えます（CVE-2026-73217）。関連の欠陥（CVE-2026-73218）により、Docker Desktop および Dev Containers CLI が存在する場合、サンドボックスされたエージェントが特権コンテナを起動し、Docker の virtiofs0 をマウントしてホストのファイルシステムへの読み取り/書き込みアクセスを取得できます。
影響を受けるシステム
Cursor IDE for macOS、3.1.2 未満（CVE-2026-73217）および 3.0.0 未満（CVE-2026-73218）
緩和策
Cursor を >= 3.1.2（Docker マウント変種については >= 3.0.0）にアップグレードしてください。GitHub Security Advisories GHSA-p9g2-cr55-cw9c および GHSA-v4xv-rqh3-w9mc を確認してください。