Cursor, Fireworks AI에서 노출된 액세스 키가 침해 원인이라고 밝혀

Cursor는 2026년 11월 13일 게시한 사고 업데이트에서 공격자가 Fireworks AI에서 노출된 Cursor 발급 액세스 키를 이용해 과거 코딩 에이전트 활동 기록과 자격 증명을 복사한 뒤, Cursor가 사용하는 일부 소프트웨어 도구에 접근하고 악성 Claude Code 확장 프로그램 빌드를 배포했다고 밝혔다. 고객 중 0.01% 미만의 API 자격 증명이 노출됐다.

Fireworks에서 키가 노출되면서 Cursor가 해당 업체와 데이터를 공유하는 데 사용하는 읽기 전용 버킷의 데이터를 복사할 수 있었다. 버킷에는 대부분 2025년에 생성된 제한적인 코딩 에이전트 활동 기록이 포함돼 있었다. 이는 Privacy Mode를 사용하지 않은 세션에서 나온 기록으로, Cursor는 모델 학습에 사용할 수 있었다. 일부 기록에는 삭제되지 않은 자격 증명이 들어 있었으며, 이를 통해 공격자는 Cursor가 사용하는 일부 서비스형 소프트웨어 도구에 접근할 수 있었다.

공격자는 해당 도구를 통해 보관 중인 일부 비운영용 Cursor 소스 코드 저장소에 접근했으며, 이 중 일부에는 업무용 연락처 정보가 들어 있었다. 그 밖에 접근된 자료에는 제한적인 지원 데이터와 이메일 대화, 제품 사용 지표와 연락처 정보, 일부 코딩 에이전트 대화의 요약, 사용자가 Cursor 지원팀에 보낸 자격 증명도 포함됐다.

영향을 받은 데이터와 영향을 받지 않은 시스템

Privacy Mode를 사용하지 않은 사용자 중 0.05% 미만의 코딩 에이전트 활동 기록이 노출됐으며, Cursor는 영향을 받은 사용자를 모두 확인해 각 사용자에게 직접 알렸다고 밝혔다. 노출된 기록은 과거 데이터의 오프라인 분석에 사용하는 저장소에 한정됐다. 현재 고객 데이터와 실시간 트래픽, 진행 중인 추론 요청, Privacy Mode에서 입력한 프롬프트와 코드는 영향을 받지 않았다.

Cursor는 자사 서비스를 운영하는 프로덕션 시스템과 인프라, 고객 코드 저장소도 영향을 받지 않았다고 밝혔다. 공식 앱 업데이트와 클라이언트 및 클라우드 서비스에 배포된 코드 역시 영향을 받지 않았다. 릴리스 코드는 공격자가 접근하지 못한 별도의 호스팅 시스템에 보관돼 있었으며, 릴리스 서명 키도 노출되지 않았다. 회사는 VS Code 마켓플레이스의 다른 모든 확장 프로그램을 검증하고 해당 마켓플레이스를 점검한 뒤 재구축했다.

확장 프로그램 침해와 대응

이번 업데이트는 침입이 Cursor가 앞서 악성 Claude Code 확장 프로그램에 관해 공개한 내용과 연관돼 있음을 보여준다. 2026년 10월 29일, 공격자는 노출된 내부 데이터에서 탈취한 자격 증명을 이용해 Cursor의 VS Code 확장 프로그램 마켓플레이스를 지원하는 캐시에 승인되지 않은 빌드를 직접 올렸다. Anthropic이 해당 빌드를 게시한 것은 아니며, Anthropic 제품에는 취약점이 없었다. 마켓플레이스의 원본인 Open VSX에도 악성 코드가 올라간 적이 없다. Cursor는 특정 캐시 버전을 요청한 사용자 중 최대 5,000명이 약 11시간 동안 해당 빌드를 이용할 수 있었던 기간에 악성 빌드를 받았을 가능성이 있다고 추산한다.

Cursor는 2026년 10월 30일 침해 지표와 복구 관련 자료를 공개했으며, 앱 내 메시지와 이메일을 통해 영향을 받은 사용자와 팀 관리자의 통지를 시작했다. 자격 증명이 노출된 경우 관리자는 교체해야 할 특정 키 목록을 받았고, Cursor는 해당 키를 발급한 제3자 서비스에 키를 폐기해 달라고 요청했다. 지원 데이터나 업무 데이터가 관련됐을 가능성이 있는 고객에게는 직접 통지했다.

Cursor의 모니터링 시스템이 승인되지 않은 활동을 발견했다. 회사는 예방 차원에서 증거가 요구하는 범위보다 더 많은 내부 서비스와 제품 서비스를 일시적으로 비활성화해 일부 기능에 차질이 생겼으며, 검토를 마친 각 서비스는 복구했다. Cursor는 이번 사고가 통제됐다고 판단한다. 관찰된 공격자의 마지막 활동은 2026년 11월 1일에 발생했으며 차단됐다. 비정상적인 활동에 대한 모니터링은 계속되고 있다.

자격 증명 폐기와 공급업체 변경

Cursor는 모든 추론 트래픽을 Fireworks에서 다른 곳으로 이전하고 공급업체 키를 비활성화했으며, Fireworks가 공유받은 모든 데이터 세트에 접근하지 못하도록 차단했다. 노출된 것으로 확인된 Cursor 자격 증명을 모두 교체한 뒤, 노출 증거가 없는 경우까지 포함해 예방 차원에서 내부 시스템 전반에서 사용 중인 모든 자격 증명도 교체했다. 또한 가능한 경우 서비스 제공업체 전반에 걸쳐 네트워크 제한을 확대하고, 코드 저장소와 기타 내부 데이터 소스에 비밀 정보 검색 기능을 추가했으며, 프로덕션 인프라를 재배포하고 외부 포렌식 전문가를 참여시켰다.

한편 Fireworks AI의 자체 보안 공지에 따르면, 연구·개발용 컴퓨터를 호스팅하는 제3자 클라우드 제공업체에서 2026년 10월 23일 사고가 발생했다. 2026년 10월 24일에는 승인되지 않은 주체가 Fireworks 개발용 컴퓨터에 접근해 승인되지 않은 작업을 실행했고, 이로 인해 추가 고객 데이터가 영향을 받았다. Fireworks는 같은 날 해당 활동을 발견했다. 2026년 10월 25일 이후 고객 플랫폼에서 추가로 성공한 무단 접근은 발견되지 않았다. 이러한 조사 결과는 현재 진행 중인 조사에 따라 달라질 수 있다.

Fireworks는 자격 증명과 서비스 계정을 폐기하고 교체했으며, 불필요한 상위 권한을 제거하고 네트워크 경로를 제한했다. 또한 저장소 및 분석 데이터 접근 제어를 강화하고 Palo Alto Networks Unit 42의 지원을 받아 로그 기록과 모니터링을 개선했다. 조사 기간 동안 Batch Inference와 데이터 세트 기반 학습에 사용되는 셀프서비스 데이터 세트 업로드 및 다운로드 기능은 비활성화했다. Training SDK는 데이터 보존 기간이 0인 방식으로 계속 이용할 수 있다. 즉, 학습 데이터는 저장된 상태로 보관되지 않는다. Lab 기반 학습은 격리된 환경에서 운영된다.

새로운 설명에 따르면 마켓플레이스 침해는 공급업체 키에서 시작해 과거 기록에 남아 있던 자격 증명으로 이어진 일련의 과정의 마지막에 발생했다. 이에 따라 공급업체 접근 권한 폐기와 광범위한 자격 증명 교체는 Cursor의 피해 확산 방지 평가에서 핵심이 됐으며, Fireworks의 조사가 계속 진행 중인 만큼 공급업체 측 조사 결과는 추후 수정될 수 있다.