Cursor riconduce la violazione dei dati a una chiave di accesso esposta da Fireworks AI

In un aggiornamento sull’incidente pubblicato il 13 novembre 2026, Cursor ha riferito che un aggressore ha utilizzato una chiave di accesso rilasciata da Cursor ed esposta da Fireworks AI per copiare tracce storiche degli agenti di coding e credenziali, per poi accedere ad alcuni strumenti software utilizzati da Cursor e distribuire build malevole dell’estensione Claude Code. Meno dello 0,01% dei clienti ha subito l’esposizione di credenziali API.

L’esposizione della chiave da parte di Fireworks ha consentito di copiare dati da un bucket di sola lettura utilizzato per la condivisione dei dati di Cursor con il fornitore. Tra i contenuti figuravano tracce limitate degli agenti di coding, perlopiù risalenti al 2025, provenienti da sessioni in cui Privacy Mode non era attiva e che Cursor era autorizzata a utilizzare per l’addestramento dei modelli. Un numero esiguo di tracce conteneva credenziali non oscurate, che hanno fornito una via d’accesso ad alcuni strumenti software-as-a-service utilizzati da Cursor.

Partendo da questi strumenti, l’aggressore ha raggiunto alcuni repository di codice sorgente di Cursor archiviati e non di produzione, alcuni dei quali contenevano informazioni di contatto aziendali. Tra gli altri materiali a cui è stato effettuato l’accesso figuravano dati limitati dell’assistenza e conversazioni via e-mail, metriche sull’utilizzo dei prodotti e recapiti, riepiloghi di alcune conversazioni con gli agenti di coding e credenziali inviate dagli utenti al team di assistenza di Cursor.

Dati interessati e sistemi non coinvolti

Tra gli utenti che non utilizzavano Privacy Mode, sono state esposte le tracce degli agenti di coding di meno dello 0,05%; Cursor ha dichiarato di aver identificato e avvisato direttamente ogni utente interessato. Le tracce esposte erano limitate allo spazio di archiviazione utilizzato per le analisi storiche offline. I dati attuali dei clienti e il traffico in tempo reale, le richieste di inferenza attive e i prompt e il codice degli utenti di Privacy Mode non sono stati coinvolti.

Cursor ha inoltre riferito che non sono stati coinvolti i sistemi di produzione e l’infrastruttura che erogano il servizio, né i repository di codice dei clienti. Gli aggiornamenti ufficiali dell’app e il codice distribuito ai client e ai servizi cloud non sono stati interessati: il codice delle release risiede in un sistema di hosting separato, al quale l’aggressore non ha mai avuto accesso, e nessuna chiave di firma delle release è stata esposta. L’azienda ha convalidato tutte le altre estensioni presenti nel marketplace VS Code e ha esaminato e ricostruito il marketplace.

Compromissione dell’estensione e contenimento

L’aggiornamento collega l’intrusione alla precedente segnalazione di un’estensione malevola di Claude Code da parte di Cursor. Il 29 ottobre 2026, l’aggressore ha utilizzato una credenziale sottratta dai dati interni esposti per inserire build non autorizzate direttamente nella cache che serve il marketplace di estensioni VS Code di Cursor. Anthropic non le aveva pubblicate, il suo prodotto non era vulnerabile e Open VSX, la fonte del marketplace, non ha mai ospitato il malware. Cursor stima che al massimo 5.000 utenti che avevano richiesto specifiche versioni in cache possano aver ricevuto una build malevola durante le circa 11 ore in cui è stata disponibile.

Il 30 ottobre 2026, Cursor ha pubblicato indicatori di compromissione e materiale per la correzione e ha iniziato ad avvisare gli utenti interessati e gli amministratori dei team tramite messaggi nell’app e via e-mail. Agli amministratori sono stati forniti elenchi delle specifiche chiavi da sostituire nei casi in cui fossero state esposte credenziali; Cursor ha inoltre chiesto ai servizi terzi che le avevano rilasciate di revocarle. I clienti i cui dati di assistenza o aziendali potrebbero essere stati coinvolti sono stati avvisati direttamente.

I sistemi di monitoraggio di Cursor hanno individuato l’attività non autorizzata. Per precauzione, l’azienda ha disattivato temporaneamente più servizi interni e di prodotto di quanti le prove rendessero necessario, causando l’interruzione di alcune funzionalità, e li ha ripristinati uno a uno dopo averli esaminati. Cursor ritiene che l’incidente sia sotto controllo: l’ultima attività dell’aggressore rilevata risale al 1° novembre 2026 ed è stata bloccata. Il monitoraggio di attività anomale prosegue.

Revoca delle credenziali e modifiche ai fornitori

Cursor ha trasferito tutto il traffico di inferenza fuori da Fireworks, disattivato la chiave del fornitore e interrotto l’accesso di Fireworks a tutti i set di dati condivisi con l’azienda. Tutte le credenziali di Cursor esposte e identificate sono state sostituite; per precauzione, sono state poi sostituite anche tutte le credenziali in uso nei sistemi interni, persino nei casi in cui non vi fossero prove di esposizione. Cursor ha inoltre esteso, ove possibile, le restrizioni di rete ai fornitori di servizi, aggiunto la scansione dei segreti ai repository di codice e ad altre fonti di dati interne, ridistribuito l’infrastruttura di produzione e incaricato esperti esterni di analisi forense.

Separatamente, il bollettino di sicurezza di Fireworks AI riferisce che il 23 ottobre 2026 si è verificato un incidente presso un fornitore cloud terzo che ospita le macchine di ricerca e sviluppo dell’azienda. Il 24 ottobre 2026, un soggetto non autorizzato ha raggiunto le macchine di sviluppo di Fireworks e vi ha eseguito un carico di lavoro non autorizzato, causando ulteriori ripercussioni sui dati dei clienti; Fireworks ha rilevato l’attività lo stesso giorno. Dal 25 ottobre 2026, l’azienda non ha rilevato ulteriori accessi non autorizzati riusciti alla piattaforma clienti. Questi risultati restano soggetti a un’indagine in corso.

Fireworks ha revocato e sostituito credenziali e account di servizio, rimosso privilegi elevati non necessari, limitato i percorsi di rete, rafforzato i controlli di accesso allo spazio di archiviazione e ai dati analitici e potenziato la registrazione degli eventi e il monitoraggio con l’assistenza di Palo Alto Networks Unit 42. Durante l’indagine, ha disabilitato il caricamento e il download autonomi dei set di dati utilizzati per Batch Inference e per l’addestramento basato su set di dati. Training SDK resta disponibile con conservazione dei dati pari a zero, il che significa che i dati di addestramento non vengono memorizzati a riposo, mentre l’addestramento basato su Lab si svolge in un ambiente isolato.

Il nuovo resoconto colloca la compromissione del marketplace al termine di una catena iniziata con una chiave del fornitore e proseguita attraverso credenziali rimaste nelle tracce storiche. Per questo, la revoca degli accessi del fornitore e la rotazione estesa delle credenziali sono elementi centrali nella valutazione del contenimento da parte di Cursor, mentre l’indagine tuttora in corso di Fireworks lascia aperta la possibilità di rivedere le conclusioni sul versante del fornitore.