Cursor führt den Sicherheitsvorfall auf einen von Fireworks AI offengelegten Zugriffsschlüssel zurück

Cursor berichtete in einem am 13. November 2026 veröffentlichten Update zum Vorfall, dass ein Angreifer einen von Cursor ausgegebenen und von Fireworks AI offengelegten Zugriffsschlüssel nutzte, um historische Verlaufsdaten von Coding-Agenten und Zugangsdaten zu kopieren, anschließend auf ausgewählte Softwaretools von Cursor zuzugreifen und schädliche Builds einer Claude-Code-Erweiterung zu verbreiten. Bei weniger als 0,01 % der Kunden wurden API-Zugangsdaten offengelegt.

Durch die Offenlegung des Schlüssels bei Fireworks konnten Daten aus einem schreibgeschützten Speicherbereich kopiert werden, den Cursor für den Datenaustausch mit dem Anbieter nutzte. Darin befanden sich begrenzte Verlaufsdaten von Coding-Agenten, überwiegend aus dem Jahr 2025, aus Sitzungen ohne Privacy Mode, deren Daten Cursor für das Modelltraining verwenden durfte. Eine kleine Anzahl davon enthielt ungeschwärzte Zugangsdaten, die den Zugriff auf ausgewählte von Cursor genutzte Software-as-a-Service-Tools ermöglichten.

Über diese Tools gelangte der Angreifer auf ausgewählte archivierte Cursor-Quellcode-Repositories, die nicht für den Produktivbetrieb bestimmt waren und von denen einige geschäftliche Kontaktinformationen enthielten. Zu den weiteren abgerufenen Materialien gehörten begrenzte Supportdaten und E-Mail-Korrespondenz, Nutzungsmetriken und Kontaktdaten, Zusammenfassungen einiger Unterhaltungen mit Coding-Agenten sowie Zugangsdaten, die Nutzer an das Supportteam von Cursor gesendet hatten.

Betroffene Daten und nicht betroffene Systeme

Bei den Nutzern, die Privacy Mode nicht verwendeten, waren die Verlaufsdaten von Coding-Agenten bei weniger als 0,05 % betroffen. Cursor erklärte, das Unternehmen habe jeden betroffenen Nutzer ermittelt und direkt benachrichtigt. Die offengelegten Verlaufsdaten befanden sich ausschließlich in einem Speicherbereich, der für historische Offline-Analysen genutzt wurde. Aktuelle Kundendaten und Live-Datenverkehr, laufende Inferenzanfragen sowie Prompts und Code aus dem Privacy Mode waren nicht betroffen.

Cursor meldete außerdem, dass weder die Produktivsysteme und die Infrastruktur für den Betrieb des Dienstes noch die Code-Repositories der Kunden betroffen waren. Offizielle App-Updates und an Clients sowie Cloud-Dienste ausgelieferter Code waren nicht betroffen: Der Code für Veröffentlichungen liegt in einem separaten Hosting-System, auf das der Angreifer nie zugegriffen hat; außerdem wurden keine Schlüssel zur Signierung von Releases offengelegt. Das Unternehmen überprüfte alle anderen Erweiterungen in seinem VS-Code-Marktplatz und kontrollierte und erneuerte diesen Marktplatz.

Kompromittierung der Erweiterung und Eindämmung

Das Update stellt einen Zusammenhang zwischen dem Eindringen und Cursors früherer Offenlegung einer schädlichen Claude-Code-Erweiterung her. Am 29. Oktober 2026 nutzte der Angreifer eine aus den offengelegten internen Daten gestohlene Zugangsinformation, um nicht autorisierte Builds direkt in den Cache des Marktplatzes für Cursor-VS-Code-Erweiterungen einzuspielen. Anthropic hatte diese Builds nicht veröffentlicht, sein Produkt war nicht anfällig, und die Schadsoftware war nie auf Open VSX, der Quelle des Marktplatzes, verfügbar. Cursor schätzt, dass höchstens 5.000 Nutzer, die bestimmte Versionen aus dem Cache angefordert hatten, während der rund 11 Stunden Verfügbarkeit möglicherweise einen schädlichen Build erhielten.

Cursor veröffentlichte am 30. Oktober 2026 Indikatoren für eine Kompromittierung und Informationen zu deren Behebung und begann, betroffene Nutzer und Teamadministratoren über Nachrichten in der App und per E-Mail zu benachrichtigen. Administratoren erhielten Listen mit bestimmten Schlüsseln, die ausgetauscht werden sollten, wenn Zugangsdaten offengelegt worden waren; Cursor bat die jeweiligen Drittanbieter, diese Schlüssel zu widerrufen. Kunden, deren Support- oder Geschäftsdaten möglicherweise betroffen waren, wurden direkt benachrichtigt.

Die Überwachungssysteme von Cursor erkannten die nicht autorisierten Aktivitäten. Vorsorglich deaktivierte das Unternehmen vorübergehend mehr interne und Produktdienste, als es die Beweislage erforderte. Dadurch wurden bestimmte Funktionen beeinträchtigt; nach einer Überprüfung stellte Cursor jeden dieser Dienste wieder her. Cursor geht davon aus, dass der Vorfall eingedämmt ist: Die letzte vom Unternehmen beobachtete Aktivität des Angreifers fand am 1. November 2026 statt und wurde blockiert. Die Überwachung auf ungewöhnliche Aktivitäten wird fortgesetzt.

Widerruf von Zugangsdaten und Änderungen bei Anbietern

Cursor leitete den gesamten Inferenzdatenverkehr von Fireworks weg, deaktivierte den Anbieterschlüssel und sperrte Fireworks den Zugriff auf alle mit dem Unternehmen geteilten Datensätze. Alle ermittelten offengelegten Cursor-Zugangsdaten wurden ausgetauscht. Vorsorglich tauschte Cursor anschließend auch alle in internen Systemen verwendeten Zugangsdaten aus, selbst wenn es keine Hinweise auf eine Offenlegung gab. Außerdem weitete Cursor, soweit möglich, die Netzwerkeinschränkungen bei Dienstleistern aus, ergänzte Repositorys und andere interne Datenquellen um eine Erkennung von Geheimnissen, setzte die Produktivinfrastruktur neu auf und beauftragte externe Experten für digitale Forensik.

Separat berichtet das eigene Sicherheitsbulletin von Fireworks AI, dass es am 23. Oktober 2026 bei einem Drittanbieter für Cloud-Dienste, der die Maschinen für Forschung und Entwicklung des Unternehmens hostet, zu einem Vorfall kam. Am 24. Oktober 2026 verschaffte sich eine nicht autorisierte Partei Zugriff auf Entwicklungsmaschinen von Fireworks und führte dort einen nicht autorisierten Workload aus, der zu zusätzlichen Auswirkungen auf Kundendaten führte; Fireworks erkannte die Aktivitäten noch am selben Tag. Seit dem 25. Oktober 2026 hat das Unternehmen auf der Kundenplattform keine weiteren erfolgreichen unbefugten Zugriffe festgestellt. Diese Erkenntnisse können sich im Zuge der laufenden Untersuchung noch ändern.

Fireworks widerrief und ersetzte Zugangsdaten und Dienstkonten, entfernte nicht benötigte erhöhte Berechtigungen, schränkte Netzwerkverbindungen ein, verschärfte die Zugriffskontrollen für Speicher und Analysen und verbesserte mit Unterstützung von Palo Alto Networks Unit 42 die Protokollierung und Überwachung. Während der Untersuchung deaktivierte das Unternehmen die Self-Service-Uploads und -Downloads von Datensätzen, die für Batch Inference und datensatzbasiertes Training genutzt wurden. Das Training SDK ist weiterhin mit Zero Data Retention verfügbar; das bedeutet, dass keine Trainingsdaten im Ruhezustand gespeichert werden. Das Lab-basierte Training wird in einer isolierten Umgebung ausgeführt.

Der neue Bericht ordnet den Angriff auf den Marktplatz ans Ende einer Kette ein, die mit einem Anbieterschlüssel begann und sich über Zugangsdaten fortsetzte, die in historischen Spuren zurückgeblieben waren. Dadurch stehen der Widerruf des Anbieterzugriffs und die umfassende Erneuerung der Zugangsdaten im Mittelpunkt von Cursors Bewertung der Eindämmungsmaßnahmen. Da Fireworks’ Untersuchung noch andauert, können sich die Erkenntnisse aufseiten des Anbieters noch ändern.