Cursor связала утечку данных с ключом доступа, раскрытым Fireworks AI

Cursor сообщила в опубликованном 13 ноября 2026 года обновлении об инциденте, что злоумышленник воспользовался выданным Cursor ключом доступа, раскрытым Fireworks AI, чтобы скопировать исторические трассировки работы агента программирования и учетные данные, а затем получить доступ к отдельным программным инструментам, которыми пользуется Cursor, и распространить вредоносные сборки расширения Claude Code. У менее чем 0,01% клиентов оказались раскрыты учетные данные API.

Из-за раскрытия ключа Fireworks данные удалось скопировать из хранилища с доступом только для чтения, которое Cursor использовала для передачи данных поставщику. В хранилище находились ограниченные по объему трассировки работы агента программирования, в основном за 2025 год, из сеансов без включенного Privacy Mode; Cursor могла использовать эти данные для обучения моделей. В небольшом числе трассировок содержались незамаскированные учетные данные, которые открывали путь к отдельным программным сервисам, которыми пользуется Cursor.

С помощью этих сервисов злоумышленник получил доступ к отдельным архивным репозиториям исходного кода Cursor, не используемым в рабочей среде; в некоторых из них содержалась контактная информация деловых партнеров. Среди других материалов, к которым удалось получить доступ, были ограниченный объем данных службы поддержки и переписка по электронной почте, показатели использования продукта и контактные данные, сводки некоторых бесед с агентом программирования, а также учетные данные, которые пользователи отправляли в службу поддержки Cursor.

Какие данные были затронуты, а какие системы — нет

Среди пользователей, не включавших Privacy Mode, трассировки работы агента программирования оказались раскрыты менее чем у 0,05%. Cursor сообщила, что выявила каждого пострадавшего пользователя и уведомила его напрямую. Раскрытые трассировки хранились только в хранилище, использовавшемся для исторического офлайн-анализа. Текущие данные клиентов и трафик в реальном времени, активные запросы на инференс, а также запросы и код из Privacy Mode затронуты не были.

Cursor также сообщила, что инцидент не затронул рабочие системы и инфраструктуру, обеспечивающие работу сервиса, а также репозитории кода клиентов. Официальные обновления приложения и код, поставляемый клиентам и облачным сервисам, не пострадали: код релизов хранится в отдельной системе размещения, к которой злоумышленник не получил доступа; ключи подписи релизов также не были раскрыты. Компания проверила все остальные расширения в своем маркетплейсе VS Code, а затем проанализировала и пересобрала его.

Компрометация расширений и сдерживание инцидента

В обновлении связь между вторжением и ранее раскрытой информацией о вредоносном расширении Claude Code проведена напрямую. 29 октября 2026 года злоумышленник использовал учетные данные, похищенные из раскрытых внутренних данных, чтобы разместить несанкционированные сборки непосредственно в кэше, обслуживающем маркетплейс расширений Cursor для VS Code. Anthropic их не публиковала, ее продукт не был уязвим, а вредоносное ПО ни разу не попадало в Open VSX — источник маркетплейса. По оценке Cursor, вредоносную сборку могли получить не более 5 000 пользователей, запросивших определенные версии из кэша, в течение примерно 11 часов, пока она была доступна.

30 октября 2026 года Cursor опубликовала индикаторы компрометации и материалы по устранению последствий, а также начала уведомлять пострадавших пользователей и администраторов команд через сообщения в приложении и по электронной почте. Администраторы получили списки конкретных ключей, которые следует заменить в случаях раскрытия учетных данных; Cursor обратилась к сторонним сервисам, выдавшим эти учетные данные, с просьбой отозвать их. Клиентов, чьи данные службы поддержки или деловая информация могли быть затронуты, уведомили напрямую.

Системы мониторинга Cursor выявили несанкционированную активность. В качестве меры предосторожности компания временно отключила больше внутренних сервисов и функций продукта, чем требовали имевшиеся данные; это нарушило работу некоторых функций. После проверки каждую из них восстановили. Cursor считает, что инцидент взят под контроль: последняя замеченная компанией активность злоумышленника произошла 1 ноября 2026 года и была заблокирована. Мониторинг необычной активности продолжается.

Отзыв учетных данных и изменения в работе с поставщиками

Cursor перенаправила весь трафик инференса с Fireworks, деактивировала ключ поставщика и закрыла Fireworks доступ ко всем передававшимся ему наборам данных. Все выявленные учетные данные Cursor, оказавшиеся раскрытыми, заменили. Затем, в качестве меры предосторожности, заменили все учетные данные, использовавшиеся во внутренних системах, даже там, где признаков утечки не было. Cursor также, где это было возможно, расширила сетевые ограничения для поставщиков услуг, добавила проверку репозиториев кода и других внутренних источников данных на наличие секретов, повторно развернула рабочую инфраструктуру и привлекла внешних экспертов по цифровой криминалистике.

В отдельном собственном бюллетене по безопасности Fireworks AI сообщила, что 23 октября 2026 года произошел инцидент у стороннего облачного провайдера, на инфраструктуре которого размещались ее машины для исследований и разработок. 24 октября 2026 года постороннее лицо получило доступ к машинам разработки Fireworks и запустило несанкционированную рабочую нагрузку, что привело к дополнительному воздействию на данные клиентов; Fireworks обнаружила эту активность в тот же день. С 25 октября 2026 года компания не выявляла новых успешных случаев несанкционированного доступа к клиентской платформе. Выводы пока предварительные: расследование продолжается.

Fireworks отозвала и заменила учетные данные и сервисные учетные записи, удалила ненужные повышенные привилегии, ограничила сетевые маршруты, ужесточила контроль доступа к хранилищам и аналитике, а также улучшила ведение журналов и мониторинг при содействии Palo Alto Networks Unit 42. На время расследования компания отключила самостоятельную загрузку и выгрузку наборов данных, использовавшихся для пакетного инференса и обучения на основе наборов данных. Training SDK остается доступным и не сохраняет данные: это означает, что обучающие данные не хранятся в состоянии покоя. При этом обучение на базе Lab проводится в изолированной среде.

Новые сведения помещают компрометацию маркетплейса в конец цепочки, которая началась с ключа поставщика и продолжилась учетными данными, сохранившимися в исторических данных. Поэтому отзыв доступа поставщика и массовая смена учетных данных занимают центральное место в оценке Cursor принятых мер по локализации инцидента, тогда как продолжающееся расследование Fireworks оставляет выводы о действиях поставщика открытыми для пересмотра.