Claude13 ноября Cursor опубликовала итоги расследования инцидента, после которого 29 октября в магазине расширений редактора Cursor появились вредоносные версии расширения Claude Code. Атака началась не в Cursor, а у Fireworks AI – платформы для запуска и обучения ИИ-моделей, с которой Cursor работала: злоумышленник получил ключ доступа, выданный Cursor компании Fireworks, и с его помощью добрался до внутренних систем Cursor.
Отчет Cursor об инциденте: атака началась с ключа, выданного Fireworks. Изображение: Cursor
По данным Cursor, большинство клиентов инцидент не затронул, а пострадавшим компания написала лично. Последнюю активность злоумышленника Cursor зафиксировала 1 ноября – ее заблокировали, и компания считает инцидент локализованным.
Как злоумышленник добрался до магазина расширений
Ключ, который Cursor выдала Fireworks, давал доступ к хранилищу только для чтения, через которое Cursor передавала Fireworks данные. Ключ утек при взломе самой Fireworks, и злоумышленник скопировал содержимое хранилища. Там лежали трассировки сессий ИИ-агента – в основном за 2025 год и только из сессий без режима конфиденциальности (Privacy Mode): такие данные Cursor может использовать для обучения моделей. В некоторых трассировках остались учетные данные, которые не были удалены, – так оказались раскрыты ключи API менее чем 0,01 % клиентов.
С этими учетными данными злоумышленник вошел в некоторые SaaS-сервисы, которыми пользуется Cursor, и получил оттуда архивные репозитории исходного кода Cursor, не связанные с рабочей средой (в некоторых были деловые контакты), часть обращений в поддержку и переписки по электронной почте, статистику использования продукта и контактные данные, краткие пересказы некоторых диалогов с ИИ-агентом, а также учетные данные, которые пользователи присылали в службу поддержки Cursor.
29 октября злоумышленник воспользовался одними из украденных учетных данных и разместил вредоносные копии расширения Claude Code напрямую в кэше, из которого магазин расширений Cursor раздает пакеты. Anthropic эти копии не публиковала, и уязвимостью в ее продукте это не было, а в реестре Open VSX, откуда магазин Cursor берет расширения, вредоносных версий не было. Версии 2.1.312 и 2.1.313 были доступны около 11 часов и могли попасть не более чем к 5000 пользователей, которые запросили их из кэша 29 октября.
Что не затронуто
Запросы и код пользователей с включенным режимом конфиденциальности в утечку не попали. Трассировки сессий без этого режима раскрыты менее чем у 0,05 % пользователей – их Cursor уведомила лично, а если уведомления не было, данных пользователя в этих трассировках нет. Не затронуты текущие запросы к Cursor, рабочие системы и инфраструктура сервиса, репозитории кода клиентов, другие расширения и плагины из магазина Cursor.
Не затронуто и само приложение Cursor с официальными обновлениями: компания выпускает их из отдельной системы хранения кода, к которой злоумышленник доступа не получил, а ключи подписи выпусков не раскрыты.
Что сделала Cursor
Cursor перестала отправлять запросы к моделям в Fireworks, отключила выданный ей ключ и закрыла доступ ко всем переданным ей наборам данных. Компания заменила все найденные раскрытые учетные данные, а на всякий случай – и все остальные во внутренних системах, проверила подлинность других расширений и пересобрала магазин расширений, заново развернула рабочую инфраструктуру и привлекла внешних специалистов по цифровой криминалистике. У поставщиков услуг Cursor там, где это возможно, ограничила сетевой доступ, чтобы украденные учетные данные нельзя было использовать вне их обычной среды, а в репозиториях кода и других внутренних источниках данных включила поиск секретов. Во время расследования компания временно отключала внутренние сервисы и некоторые функции Cursor.
Взлом Fireworks AI
Fireworks AI сообщила о взломе 9 октября. 6 октября компания обнаружила, что посторонние пользуются ее внутренними учетными данными: они получили переменные окружения заданий оценки моделей в части клиентских аккаунтов, а вместе с ними – хранившиеся там ключи API и токены. В обновлении от 9 ноября Fireworks добавила, что затронуты также сведения об аккаунтах и платежная информация, а у некоторых клиентов – секреты, наборы данных и незавершенные модели. Номера платежных карт Fireworks не хранит.
24 октября злоумышленник снова проник в инфраструктуру Fireworks – через машины для исследований и разработки, размещенные у стороннего облачного провайдера, который сам был взломан 23 октября. Расследование Fireworks ведет вместе с подразделением Unit 42 компании Palo Alto Networks и связывает атаку с финансово мотивированной группировкой, которая перепродает доступ к большим языковым моделям (LLMjacking).
От взлома Fireworks пострадали и другие ее клиенты. Notion сообщила, что инцидент затронул менее 1 % рабочих пространств сервиса: злоумышленник получил часть диалогов с Notion AI, включая текст сообщений пользователей и ответы модели. По данным TechCrunch, Uber уведомляет водителей о краже их персональных данных и сведений о водительских удостоверениях. В уведомлениях, поданных в нескольких штатах США, указаны 2567 жителей Массачусетса, 3430 жителей Южной Каролины и 1873 жителя Род-Айленда. Представитель Uber подтвердил TechCrunch, что поставщик, у которого произошла утечка, – Fireworks AI.
Что делать пользователям Cursor
Если 29 октября вы установили расширение Claude Code версии 2.1.312 или 2.1.313 из магазина Cursor на Windows или macOS либо обновили его до одной из этих версий, Cursor просит выполнить шаги из своего уведомления о безопасности: проверить файл authorized_keys на ключ с меткой svc-telemetry, запустить скрипт очистки и с доверенного устройства заменить учетные данные, доступные с этого компьютера. Одного удаления расширения может быть недостаточно: вредоносный код оставляет отдельные сценарии автозапуска.
Администраторам команд, у которых были раскрыты учетные данные, Cursor отправила списки ключей, которые нужно заменить, и попросила сервисы, выдавшие эти ключи, отозвать их. Другие версии расширения и официальные выпуски Claude Code, по данным Cursor, не затронуты.
