Cursor atribui violação a chave de acesso exposta pela Fireworks AI

A Cursor informou, em uma atualização sobre o incidente publicada em 13 de novembro de 2026, que um invasor usou uma chave de acesso emitida pela Cursor e exposta pela Fireworks AI para copiar registros históricos de atividade de agentes de programação e credenciais. Em seguida, acessou ferramentas de software específicas usadas pela Cursor e distribuiu versões maliciosas da extensão Claude Code. As credenciais de API de menos de 0,01% dos clientes foram expostas.

A exposição da chave pela Fireworks permitiu que dados fossem copiados de um repositório somente de leitura usado para o compartilhamento de dados entre a Cursor e o fornecedor. O conteúdo incluía registros limitados de atividade de agentes de programação, em sua maioria de 2025, provenientes de sessões sem o Modo de privacidade que a Cursor tinha autorização para usar no treinamento de modelos. Um pequeno número desses registros continha credenciais sem ocultação, o que possibilitou o acesso a ferramentas específicas de software como serviço usadas pela Cursor.

A partir dessas ferramentas, o invasor acessou alguns repositórios arquivados de código-fonte da Cursor, não destinados à produção, alguns dos quais continham informações de contato comercial. Outros materiais acessados incluíam dados limitados de suporte e conversas por e-mail, métricas de uso do produto e dados de contato, resumos de algumas conversas com agentes de programação e credenciais que usuários haviam enviado à equipe de suporte da Cursor.

Dados afetados e sistemas não afetados

Entre os usuários que não usavam o Modo de privacidade, os registros de atividade de agentes de programação de menos de 0,05% foram expostos, e a Cursor afirmou ter identificado e notificado diretamente cada usuário afetado. Os registros expostos estavam limitados ao armazenamento usado para análises históricas off-line. Os dados atuais dos clientes e o tráfego em tempo real, as solicitações de inferência ativas e os prompts e códigos do Modo de privacidade não foram afetados.

A Cursor também informou que os sistemas de produção e a infraestrutura que executam seu serviço não foram afetados, assim como os repositórios de código dos clientes. As atualizações oficiais do aplicativo e o código distribuído aos clientes e aos serviços em nuvem não foram afetados: o código de lançamento fica em um sistema de hospedagem separado, que o invasor nunca acessou, e nenhuma chave de assinatura de versões foi exposta. A empresa validou todas as demais extensões em seu marketplace do VS Code e revisou e reconstruiu esse marketplace.

Comprometimento da extensão e contenção

A atualização relaciona a invasão à divulgação anterior da Cursor sobre a extensão maliciosa Claude Code. Em 29 de outubro de 2026, o invasor usou uma credencial roubada dos dados internos expostos para colocar versões não autorizadas diretamente no cache que atende o marketplace de extensões do VS Code da Cursor. A Anthropic não as publicou, seu produto não era vulnerável e o Open VSX, a origem do marketplace, nunca hospedou o malware. A Cursor estima que, no máximo, 5.000 usuários que solicitaram versões específicas armazenadas em cache podem ter recebido uma versão maliciosa durante aproximadamente 11 horas de disponibilidade.

A Cursor publicou indicadores de comprometimento e materiais de mitigação em 30 de outubro de 2026 e começou a notificar os usuários afetados e os administradores de equipes por meio de mensagens no aplicativo e por e-mail. Os administradores receberam listas de chaves específicas a serem substituídas nos casos em que houve exposição de credenciais, e a Cursor pediu aos serviços terceirizados que as emitiram que as revogassem. Os clientes cujos dados de suporte ou comerciais podem ter sido envolvidos foram notificados diretamente.

Os sistemas de monitoramento da Cursor identificaram a atividade não autorizada. Por precaução, a empresa desativou temporariamente mais serviços internos e de produto do que as evidências exigiam, interrompendo alguns recursos, e reativou cada um deles após uma análise. A Cursor acredita que o incidente está contido: a última atividade do invasor observada ocorreu em 1º de novembro de 2026 e foi bloqueada. O monitoramento de atividades anômalas continua.

Revogação de credenciais e mudanças nos fornecedores

A Cursor transferiu todo o tráfego de inferência para fora da Fireworks, desativou a chave do fornecedor e encerrou o acesso da Fireworks a todos os conjuntos de dados compartilhados com ela. Todas as credenciais expostas da Cursor que foram identificadas foram substituídas. Em seguida, por precaução, a empresa substituiu todas as credenciais em uso nos sistemas internos, mesmo quando não havia evidências de exposição. A Cursor também ampliou, sempre que possível, as restrições de rede aplicadas aos provedores de serviços, adicionou a verificação de segredos aos repositórios de código e a outras fontes de dados internas, reimplantou a infraestrutura de produção e contratou especialistas externos em perícia digital.

Separadamente, o próprio boletim de segurança da Fireworks AI informa que um provedor de nuvem terceirizado que hospedava suas máquinas de pesquisa e desenvolvimento sofreu um incidente em 23 de outubro de 2026. Uma parte não autorizada acessou máquinas de desenvolvimento da Fireworks em 24 de outubro de 2026 e executou uma carga de trabalho não autorizada que resultou em impacto adicional sobre dados de clientes; a Fireworks detectou a atividade naquele dia. Desde 25 de outubro de 2026, não detectou novos acessos não autorizados bem-sucedidos à plataforma de clientes. Essas conclusões continuam sujeitas a uma investigação em andamento.

Fireworks revogou e substituiu credenciais e contas de serviço, removeu privilégios elevados desnecessários, restringiu caminhos de rede, reforçou os controles de acesso ao armazenamento e à análise de dados e aprimorou o registro de atividades e o monitoramento com a ajuda da Palo Alto Networks Unit 42. Durante a investigação, desativou os envios e downloads de conjuntos de dados por autoatendimento usados pela inferência em lote e pelo treinamento baseado em conjuntos de dados. O Training SDK continua disponível com retenção zero de dados, o que significa que nenhum dado de treinamento é armazenado em repouso, enquanto o treinamento baseado no Lab ocorre em um ambiente isolado.

A nova conta situa o comprometimento do marketplace no fim de uma cadeia que começou com uma chave de fornecedor e prosseguiu com credenciais deixadas em registros históricos. Isso torna a revogação do acesso do fornecedor e a ampla rotação de credenciais elementos centrais da avaliação de contenção da Cursor, enquanto a investigação ainda em andamento da Fireworks deixa as conclusões sobre o lado do fornecedor sujeitas a revisão.