DuneSlide 是 Cato AI Labs 對 Cursor（AI 程式開發 IDE，內建的 Agent 可自動執行終端指令與修改檔案）的研究，揭露 Cursor 2.x 中兩個彼此獨立的漏洞。間接提示詞注入攻擊（indirect prompt injection，把惡意指令藏在 Agent 會讀取的外部內容中）可以讓 Agent 核准專案外的工作目錄，也可以利用 Write 工具在符號連結解析失敗後仍繼續寫入的行為。任一路徑都能覆寫 Cursor 的沙箱輔助程式，讓後續指令不再受到原本的終端沙箱限制。Cursor 3.0 已修補兩項漏洞，且早在 4 月 2 日發布，比 Cato 的公開文章早三個月。
run_terminal_cmd 的 working_directory。Cursor 隨後把該目錄加入沙箱可寫清單，卻沒有先證明它仍位於專案根目錄內。/Applications/Cursor.app/.../cursorsandbox，也就是 Cursor 用來啟動沙箱指令的輔助程式。後續提示詞注入再呼叫遭修改的輔助程式，就能在沒有原沙箱限制的情況下執行程式碼。working_directory 設為必要且有明確型別的路徑能力，並由可信程式在已開啟的專案根目錄下解析。每一層父目錄都要正規化；只要遇到不存在的項目或符號連結就拒絕，再把已核准、已開啟的目錄控制代碼（descriptor）交給工具。這會同時關閉模型控制目錄與檢查後重新開啟路徑的弱點。cursorsandbox 包裝程式遭到突破，沙箱設定仍要拒絕寫入應用程式套件與其他主機路徑。這是限制最終 RCE 影響的關鍵獨立防線。cursorsandbox。working_directory，以及僅供寫入、指向尚不存在目標的符號連結（看起來位於專案內，實際會把寫入導向其他位置）。兩種情況都必須在建立或修改任何檔案前拒絕。DuneSlide 說明，只要 LLM 能決定工具參數，該參數就是安全邊界的一部分。第一條路徑信任模型選擇的工作目錄，第二條路徑則讓解析失敗變成寫入許可；兩者最後都改寫原本應該執行隔離的元件。
AIDEFEND 把關鍵控制放在模型周圍與更低層：AID-H-018.001 限制路徑參數，AID-H-021.002 保護強制執行元件，AID-I-001.002 在應用層失效後繼續限制工具，AID-H-003.010 則確認修正版真正覆蓋實際部署。