לפי המחקר, פקודה זדונית אחת, למשל דרך הזרקת פרומפט, יכולה לתת לתוקף הרשאות root על המכונה הווירטואלית שבה רץ הסוכן, ומשם להריץ פקודות ולקרוא קבצים בחשבון מכל מקום. מכיוון שכל הסוכנים באותו חשבון חולקים משתמש לינוקס אחד ומערכת קבצים משותפת, התוקף מקבל גישה לכל מה שהסוכן שמר: קוקיז, מפתחות API ופרטי גישה לשירותים מחוברים כמו מייל ויומן.
החוקרים מצאו עוד כמה כשלים: טוקן האימות של שירות הרצת הפקודות היה זהה בכל הסביבות שנבדקו, והיה המילה "local"; דפדפן Chrome בסביבה רץ עם ממשק דיבאגינג פתוח בלי אימות; והחוקרים מצאו את המפתח הפרטי שמשמש לחתימת תוסף הדפדפן של Cursor. לדבריהם, גם החלפת טוקנים לא מסלקת תוקף שכבר בפנים.
לפי גיקטיים, Profero דיווחה ל-xAI ול-Cursor על הממצאים בסוף אוגוסט. מ-Cursor התקבל מענה אוטומטי של תוכנית הבאג באונטי, ו-xAI לא הגיבה. מאז שוחררו יותר מ-240 גרסאות, ולפי החוקרים אף אחת מהחולשות הקריטיות לא תוקנה. ארגונים שמשתמשים בסוכן כדאי שיבדקו אילו הרשאות וחיבורים ניתנו לו.