Cursor atribuye la brecha a una clave de acceso expuesta por Fireworks AI

Cursor informó en una actualización sobre el incidente publicada el 13 de noviembre de 2026 que un atacante utilizó una clave de acceso emitida por Cursor y expuesta por Fireworks AI para copiar rastros históricos de agentes de codificación y credenciales, y luego acceder a determinadas herramientas de software utilizadas por Cursor y distribuir compilaciones maliciosas de la extensión Claude Code. Las credenciales de API de menos del 0,01 % de los clientes quedaron expuestas.

La exposición de la clave por parte de Fireworks permitió copiar datos de un depósito de solo lectura que Cursor utilizaba para compartir información con el proveedor. Su contenido incluía una cantidad limitada de rastros de agentes de codificación, en su mayoría de 2025, procedentes de sesiones en las que no se utilizó Privacy Mode y que Cursor tenía permiso para usar en el entrenamiento de modelos. Un pequeño número de ellos contenía credenciales sin ocultar, lo que ofrecía una vía de acceso a determinadas herramientas de software como servicio utilizadas por Cursor.

A través de esas herramientas, el atacante accedió a determinados repositorios archivados y no relacionados con producción del código fuente de Cursor; algunos contenían información de contacto comercial. Entre el resto del material al que se accedió había datos limitados de soporte y conversaciones por correo electrónico, métricas de uso del producto y datos de contacto, resúmenes de algunas conversaciones con agentes de codificación y credenciales que los usuarios habían enviado al equipo de soporte de Cursor.

Datos afectados y sistemas no afectados

Entre los usuarios que no utilizaban Privacy Mode, quedaron expuestos rastros de agentes de codificación de menos del 0,05 %; Cursor afirmó que identificó y notificó directamente a cada usuario afectado. Los rastros expuestos se limitaron al almacenamiento utilizado para análisis históricos sin conexión. Los datos actuales de los clientes y el tráfico en directo, las solicitudes de inferencia activas y las indicaciones y el código de Privacy Mode no se vieron afectados.

Cursor también informó que no hubo efectos en los sistemas de producción ni en la infraestructura que ejecuta su servicio, ni en los repositorios de código de los clientes. Las actualizaciones oficiales de la aplicación y el código distribuido a los clientes y los servicios en la nube no se vieron afectados: el código de las versiones se encuentra en un sistema de alojamiento independiente al que el atacante nunca accedió, y no se expusieron claves de firma de versiones. La empresa validó todas las demás extensiones de su mercado de VS Code y revisó y reconstruyó ese mercado.

Compromiso de la extensión y contención

La actualización vincula la intrusión con la divulgación anterior de una extensión maliciosa de Claude Code por parte de Cursor. El 29 de octubre de 2026, el atacante utilizó una credencial robada de los datos internos expuestos para colocar compilaciones no autorizadas directamente en la caché que abastece el mercado de extensiones de VS Code de Cursor. Anthropic no las publicó, su producto no era vulnerable y Open VSX, el origen del mercado, nunca alojó el programa malicioso. Cursor calcula que, como máximo, 5.000 usuarios que solicitaron versiones específicas almacenadas en caché podrían haber recibido una compilación maliciosa durante las aproximadamente 11 horas en que estuvo disponible.

Cursor publicó indicadores de compromiso y material de remediación el 30 de octubre de 2026, y comenzó a notificar a los usuarios afectados y a los administradores de equipos mediante mensajes en la aplicación y correos electrónicos. Los administradores recibieron listas de claves específicas que debían rotar cuando las credenciales habían quedado expuestas, y Cursor pidió a los servicios de terceros que las habían emitido que las revocaran. Se notificó directamente a los clientes cuyos datos de soporte o comerciales podrían haberse visto afectados.

Los sistemas de supervisión de Cursor detectaron la actividad no autorizada. Como medida de precaución, la empresa deshabilitó temporalmente más servicios internos y de productos de los que justificaban las pruebas, lo que interrumpió algunas funciones, y restableció cada servicio tras revisarlo. Cursor considera que el incidente está contenido: la última actividad del atacante que observó tuvo lugar el 1 de noviembre de 2026 y fue bloqueada. La supervisión para detectar actividad anómala continúa.

Revocación de credenciales y cambios en los proveedores

Cursor trasladó todo el tráfico de inferencia fuera de Fireworks, desactivó la clave del proveedor y cortó el acceso de Fireworks a todos los conjuntos de datos que compartía con esa empresa. Rotó todas las credenciales expuestas de Cursor que identificó y, como precaución, también todas las credenciales en uso en los sistemas internos, incluso cuando no había indicios de que se hubieran expuesto. Cursor amplió además las restricciones de red en los proveedores de servicios siempre que fue posible, añadió análisis de secretos a los repositorios de código y a otras fuentes de datos internas, volvió a desplegar la infraestructura de producción y contrató a expertos externos en análisis forense.

Por separado, el boletín de seguridad de Fireworks AI informa que un proveedor externo de servicios en la nube que alojaba sus máquinas de investigación y desarrollo sufrió un incidente el 23 de octubre de 2026. Una parte no autorizada accedió a las máquinas de desarrollo de Fireworks el 24 de octubre de 2026 y ejecutó una carga de trabajo no autorizada que provocó un impacto adicional en los datos de clientes; Fireworks detectó la actividad ese mismo día. No ha detectado nuevos accesos no autorizados exitosos a la plataforma de clientes desde el 25 de octubre de 2026. Esos hallazgos siguen sujetos a una investigación en curso.

Fireworks revocó y reemplazó credenciales y cuentas de servicio, eliminó privilegios elevados innecesarios, restringió las vías de acceso a la red, reforzó los controles de acceso al almacenamiento y a los análisis, y mejoró el registro y la supervisión con la ayuda de Palo Alto Networks Unit 42. Durante la investigación, deshabilitó las cargas y descargas de conjuntos de datos de autoservicio utilizadas por Batch Inference y el entrenamiento basado en conjuntos de datos. Training SDK sigue disponible con retención cero de datos, lo que significa que no se almacenan datos de entrenamiento en reposo, mientras que el entrenamiento basado en Lab funciona en un entorno aislado.

La nueva versión sitúa la vulneración de la plataforma de compraventa al final de una cadena que comenzó con una clave de un proveedor y continuó con credenciales que quedaron en registros históricos. Esto convierte la revocación del acceso del proveedor y la renovación generalizada de las credenciales en aspectos centrales de la evaluación de contención de Cursor, mientras que la investigación que Fireworks sigue llevando a cabo deja abierta la posibilidad de que se revisen las conclusiones sobre el proveedor.