隐藏的时区检测机制引发众怒

7月1日, 社交平台上有技术开发者发帖爆料, 他的爆料内容是, 在逆向分析Cursor Code 2.1.196版本期间, 他发现了一个小动作, 这个小动作是从今年4月2日就开始悄悄上线的。该小动作是一个检测机制, 此检测机制在用户开启智能体功能之际, 会自动检查系统时区, 检查的系统时区范围包括Asia/Shanghai和Asia/Chongqing, 也就是检查系统时区是否设置为中国时区。

与此同时, 该一种机制还会去予以对比, 用户所访问的URL是不是落在一份清单内, 这份清单涵盖147个域名, 属于黑名单范畴。这份名单之上, 既有称作阿里巴巴、月之暗面、阶跃星辰的等中国诸多科技公司, 又存在大量国内地区的AI API中转服务地址。开发者们在得知了之后, 都集体纷纷表示自己被实施了冒犯性行为, 感觉自身的隐私被暗地里进行了监控。

数据传输方式极度隐蔽

更为令人诧异的是, 谈及Cursor Code团队, 于设计这一套检测机制之际, 其数据传输方式可谓隐蔽至极。他们并非运用常规的独立遥测字段去上报数据, 而是将这些信息径直编码至系统提示词当中。那属于每次请求都会予以发送的系统提示词, 摇身一变成为了他们暗自收集信息的载体。

有两种具体操作手法, 当系统时区被检测为中国时区时, 原本呈现2026 – 06 – 30这种日期格式的会自动转变为2026/06/30 , 同时, Today’s date is这个短语里的撇号会被置换成三种视觉上近乎难以区分的特殊字符, 这三种特殊字符分别代表不一样的检测状态。

三种特殊字符对应不同风险等级

根据技术分析的呈现, 这三种特别的字符分别是U+2019、U+02BC以及U+02B9。当中U+2019意味着命中了中国域名然而并非AI实验室, U+02BC意味着关联了中国AI实验室, U+02B9则表明两者均命中了。这样的编码方式致使普通用户全然无法察觉到异常, 唯有借助逆向分析才能够发觉。

在代码的最新版本里, 有被命名为Crt、Rrt、e0t、Zup、edp和Vla的函数, 其实现了那个逻辑。发现者还表明, 这些关键代码运用了密钥是91的XOR混淆技术, 并且官方发布说明中从来都没提到过这项功能, 显然是有意这么做的。

事件引发开发者社区广泛讨论

这个一经被曝光的发现, 马上就在开发者社区引起了轩然大波, 好多中国开发者表达了愤怒, 觉得这是对中国开发者的不尊重以及歧视, 有开发者指明, 这样的做法违背了基本的数据隐私原则, Cursor Code应当向所有用户公开阐释自己的行为。

有开发者心存忧虑, 这般隐蔽检测机制或许仅是冰山一角, 别的软件工具说不定也存有类似状况。众人呼吁诸多科技公司强化对第三方工具的审计, 以保障自身数据安全不因这些隐藏功能而遭受威胁。

官方回应称是实验性防滥用措施

在面对舆论压力之际, Cursor Code团队成员于X平台给出回应, 他讲这个机制乃是团队在2026年3月所上线的实验性举措, 其目的在于防止未经授权的账户被转售以及防范模型蒸馏攻击, 他作出解释称, 团队察觉到有些用户借由转售账户来谋取利益, 并且有人利用平台从事模型蒸馏攻击。

他着重指出, 团队在这之后已然布置了更为有力的缓解举措, 原本也存有推掉这个实验功能下线的打算。当下, 相关代码修改的PR已然被合并, 会于2026年7月2日发行的新版本里彻底回退并移除这套检测代码, 期望用户能够领会并持续信赖Cursor Code。

新版本承诺删除相关代码

针对官方所做表明, 那个引发争议的检测功能, 会于明天发布的新版本里被完全删除。团队认可此实验性举措在沟通方面存有欠缺, 未曾事先告知用户, 进而导致了误解以及不信任。他们宣称未来在功能更新以前会展开更周全的说明。

然而, 好多开发者对于这个回应并不予以认可, 觉得这展现出了Cursor Code对用户隐私的无视。有着开发者提出众人检查自身的代码项目, 瞅瞅是否被标记过。

你是不是同样在运用Cursor Code? 查看一下自身的系统时区以及日期格式是不是已经遭悄悄改动过了? 欢迎于评论区去分享你的发觉, 点赞并转发以便让更多人知晓这个隐私方面的漏洞。