Cursor、Fireworks AIによって露出したアクセスキーが侵害の原因と特定

Cursorは、2026年11月13日に公開したインシデントに関する最新情報で、攻撃者がFireworks AIによって露出したCursor発行のアクセスキーを使い、過去のコーディングエージェントの実行トレースと認証情報をコピーした後、Cursorが利用する一部のソフトウェアツールに侵入し、悪意あるClaude Code拡張機能のビルドを配布したと報告した。顧客の0.01%未満でAPI認証情報が露出した。

Fireworksによってキーが露出したことで、Cursorがベンダーとデータを共有するために使用していた読み取り専用バケットから、データがコピーされる可能性が生じた。バケットには、主に2025年の限られたコーディングエージェントの実行トレースが含まれていた。これらはPrivacy Modeを使用していないセッションのもので、Cursorがモデルのトレーニングに使用することを許可されていた。一部にはマスキングされていない認証情報が含まれており、攻撃者がCursorの利用する一部のサービスとしてのソフトウェア（SaaS）ツールに侵入する経路となった。

攻撃者はこれらのツールを経由して、Cursorの一部のアーカイブ済み非本番ソースコードリポジトリにアクセスした。その一部には取引先の連絡先情報が含まれていた。ほかにアクセスされた情報には、限られた範囲のサポートデータやメールでのやり取り、製品利用状況の指標と連絡先情報、一部のコーディングエージェントとの会話の要約、ユーザーがCursorのサポートチームに送信した認証情報が含まれていた。

影響を受けたデータと影響を受けなかったシステム

Privacy Modeを使用していないユーザーのうち、コーディングエージェントの実行トレースが露出したのは0.05%未満であり、Cursorは影響を受けたユーザー全員を特定し、個別に通知したと述べた。露出した実行トレースは、過去のオフライン分析に使用するストレージに限られていた。現在の顧客データやリアルタイムのトラフィック、進行中の推論リクエスト、Privacy Modeでのプロンプトとコードには影響がなかった。

Cursorによると、同社のサービスを稼働させる本番システムやインフラ、顧客のコードリポジトリにも影響はなかった。公式アプリのアップデートや、クライアントおよびクラウドサービスに配信されたコードも影響を受けていない。リリース用コードは攻撃者がアクセスしていない別のホスティングシステムにあり、リリース署名キーも露出しなかった。同社はVS Codeマーケットプレイスにあるほかのすべての拡張機能を検証し、マーケットプレイスを調査して再構築した。

拡張機能の侵害と封じ込め

今回の発表は、侵入とCursorが以前公表した悪意あるClaude Code拡張機能の問題を結び付けている。2026年10月29日、攻撃者は露出した内部データから盗んだ認証情報を使い、CursorのVS Code拡張機能マーケットプレイスに配信するキャッシュへ、不正なビルドを直接配置した。Anthropicがそれらを公開したわけではなく、同社の製品に脆弱性があったわけでもない。また、マーケットプレイスのソースであるOpen VSXにマルウェアが含まれたこともなかった。Cursorの推定では、特定のキャッシュ済みバージョンをリクエストしたユーザーのうち、最大5,000人が、約11時間にわたる公開期間中に悪意あるビルドを受け取った可能性がある。

Cursorは2026年10月30日に侵害の痕跡と修復に関する資料を公開し、アプリ内メッセージとメールで、影響を受けたユーザーおよびチーム管理者への通知を開始した。認証情報が露出した場合、管理者にはローテーションが必要な特定のキーの一覧が送られ、Cursorは発行元であるサードパーティー各社にキーの失効を依頼した。サポートデータまたは業務データが影響を受けた可能性のある顧客には、個別に通知した。

Cursorの監視システムが不正な活動を検知した。予防措置として、同社は証拠から必要と判断される範囲を超えて、より多くの内部サービスと製品サービスを一時的に停止したため、一部の機能に支障が生じた。その後、確認を終えたサービスを順次復旧した。Cursorはインシデントが封じ込められたと考えている。同社が確認した攻撃者の最後の活動は2026年11月1日に発生し、阻止された。異常な活動の監視は継続している。

認証情報の失効とベンダー関連の変更

Cursorはすべての推論トラフィックをFireworks経由から切り替え、ベンダーキーを無効化し、Fireworksによる共有データセットへのアクセスをすべて遮断した。露出が確認されたCursorの認証情報はすべてローテーションし、予防措置として、露出の証拠がないものも含め、内部システムで使用中の認証情報をすべてローテーションした。また、可能な範囲でサービスプロバイダー全体のネットワーク制限を拡大し、コードリポジトリなどの内部データソースにシークレットスキャンを導入したほか、本番インフラを再デプロイし、外部のフォレンジック専門家に調査を依頼した。

これとは別に、Fireworks AIの独自のセキュリティ情報によると、研究開発用マシンをホストするサードパーティーのクラウドプロバイダーで、2026年10月23日にインシデントが発生した。2026年10月24日には、権限のない第三者がFireworksの開発用マシンに侵入し、不正なワークロードを実行したことで、追加の顧客データに影響が及んだ。Fireworksは同日、この活動を検知した。2026年10月25日以降、顧客向けプラットフォームへの不正アクセスが再び成功した形跡は検知していない。これらの調査結果は、現在も進行中の調査によって変更される可能性がある。

FireworksはPalo Alto Networks Unit 42の支援を受け、認証情報とサービスアカウントを失効・交換し、不要な高権限を削除し、ネットワーク経路を制限し、ストレージと分析機能のアクセス制御を強化したほか、ログ記録と監視を拡充した。同社は調査期間中、Batch Inferenceとデータセットベースのトレーニングで使用される、セルフサービスによるデータセットのアップロードとダウンロードを無効にした。Training SDKはゼロデータ保持で引き続き利用でき、トレーニングデータは保存時に保持されない。一方、Labベースのトレーニングは隔離環境で実行される。

今回の新たな説明によれば、マーケットプレイスの侵害は、ベンダーのキーに端を発し、過去の痕跡に残された認証情報を経て続いた一連の事態の末端に位置づけられる。これにより、ベンダーへのアクセス権の取り消しと広範な認証情報のローテーションがCursorの封じ込め評価の中心となる一方、Fireworksによる調査は継続中であり、ベンダー側の調査結果は今後修正される可能性が残されている。