Cursor、VS Code、Antigravity 一键 RCE 漏洞：一个 Git Commit 链接就能控制你的电脑

TL;DR

在 Cursor、VS Code 或 Google Antigravity 中点击一个恶意 Git commit 链接，攻击者就能获得你电脑的完整终端权限。安全公司 AISLE 发现了这个漏洞，三个编辑器都已发布补丁。但它们共享同一套底层架构——这正是三个工具同时中招的原因。如果你最近一周没更新编辑器，现在就更新。

发生了什么

2026 年 7 月 31 日，AI 原生安全公司 AISLE 披露了一个影响 Cursor、Microsoft VS Code 和 Google Antigravity 的一键远程代码执行漏洞。研究员 Stanislav Fort 发现，攻击者可以在 Git commit 消息中嵌入恶意命令链接。在任意一个编辑器中点击该链接，就会以完整终端权限执行任意代码。不需要下载文件，不需要打开可疑附件，没有任何警告弹窗。

AISLE 估计约 5000 万开发者暴露在此风险中。任何打开 Git 仓库、浏览 commit 历史并点击链接的人，都可能被攻陷。

为什么三个工具同时中招

Cursor 和 Google Antigravity 都基于 VS Code 架构构建。当 AISLE 的自动化扫描器在 2025 年秋发现 VS Code 中的漏洞后，他们立即检查了衍生编辑器，在 Cursor 和 Antigravity 中找到了同样的漏洞。共享代码意味着共享漏洞。

这不是新问题。Electron 应用继承 Chromium 的漏洞，VS Code 的分支继承 VS Code 的漏洞。但 AI 编码工具的爆发加速了这一模式：当每个新编辑器都从同一个开源核心 fork 出来时，核心中的一个 bug 就变成了整个生态系统的 bug。

披露是协调进行的。AISLE 与微软、Cursor（Anysphere）和 Google 合作，在公开博客上线前确保了补丁发布。截至 2026 年 8 月初，三个编辑器都已发布修复。

攻击者能做什么

漏洞利用的载荷完全存在于 Git commit 消息中——这是开发者在代码审查、blame 查看和仓库浏览时日常接触的内容。攻击者不需要先获得任何访问权限。

攻陷后，攻击者可以：

• 读取并窃取机器上所有仓库的源代码
• 盗取环境变量和配置文件中的云凭证
• 获取 SSH 密钥并横向移动到生产基础设施
• 在开发者自己的项目中植入后门
• 将受害机器作为跳板进入内部网络

对 AI 编码工具用户来说，还有额外的一击。这些编辑器通常持有多个模型提供商的 API 密钥。Cursor 被攻陷意味着你的 Anthropic、OpenAI 和 Google API 密钥一次性全部暴露。

你应该做什么

立即更新。 Cursor、VS Code 和 Antigravity 都已发布补丁。检查你的版本。如果你运行的版本比已修复版本更旧，现在更新。

不要点击 commit 消息中的链接。 即使已打补丁，这也是一个好习惯。Commit 消息是攻击者可控的内容。把它们当成垃圾邮件中的链接来对待。

审计你的编辑器 Git 集成。 漏洞利用的是 commit 消息渲染中的可点击链接功能。如果你不需要 GitLens 风格的行内链接，关掉它们。

不确定就轮换密钥。 如果你在未打补丁的编辑器上点击过 commit 消息中的链接，轮换你的 API 密钥、SSH 密钥和云凭证。假设已被攻陷，然后继续前进。

检查你的扩展。 第三方 Git 可视化扩展即使在已打补丁的核心编辑器上也可能引入类似风险。审查你安装了什么。

真正的教训

这个 bug 跟 AI 无关。它是 Git commit 渲染中的一个普通输入清理失败。但它对 AI 编码工具生态系统很重要，原因在于规模和集中度。

三个工具共享一个代码库，意味着三个工具共享一个攻击面。随着 AI 编辑器市场向 VS Code 衍生架构集中，我们正在制造一个单一作物。单一作物让每个 bug 的影响范围更广。

AISLE 的发现也暴露了 AI 编辑器安全讨论中的一个盲区。大多数讨论集中在提示注入、模型投毒和 agent 异常行为上。那些无聊的东西（链接渲染、文件解析、扩展沙箱）没有得到同样的审视。下一个 AI 编辑器漏洞很可能跟 AI 本身无关。它会是一个 2018 年的 Electron bug，没人修复因为"这只是一个文本编辑器"。

更新你的编辑器。然后问自己：你的工具链里还有哪些运行在共享基础设施上而你还没有审计过的部分。