Cursor пов’язує витік даних із ключем доступу, розкритим Fireworks AI

У оновленні щодо інциденту, опублікованому 13 листопада 2026 року, Cursor повідомила, що зловмисник скористався виданим Cursor ключем доступу, який розкрила Fireworks AI, щоб скопіювати історичні записи роботи агентів програмування та облікові дані, а потім отримати доступ до окремих програмних інструментів, якими користується Cursor, і поширити шкідливі збірки розширення Claude Code. Облікові дані API було розкрито менш ніж у 0,01% клієнтів.

Через розкриття Fireworks ключа дані вдалося скопіювати з контейнера лише для читання, який використовувався для обміну даними Cursor із постачальником. У ньому містилися обмежені записи роботи агентів програмування — переважно за 2025 рік — із сеансів, у яких не було ввімкнено режим конфіденційності, і які Cursor мала дозвіл використовувати для навчання моделей. У невеликій кількості записів були незамасковані облікові дані, що дали змогу отримати доступ до окремих програмних інструментів як послуги, якими користується Cursor.

Через ці інструменти зловмисник дістався до окремих архівних репозиторіїв вихідного коду Cursor, не пов’язаних із робочим середовищем; у деяких із них містилася контактна інформація ділових партнерів. Серед інших матеріалів, до яких отримали доступ, були обмежені дані служби підтримки й електронне листування, показники використання продукту та контактні дані, підсумки деяких розмов з агентами програмування, а також облікові дані, які користувачі надсилали до служби підтримки Cursor.

Дані, яких торкнувся інцидент, і системи, що не постраждали

Серед користувачів, які не ввімкнули режим конфіденційності, записи роботи агентів програмування було розкрито менш ніж у 0,05%; Cursor повідомила, що безпосередньо виявила кожного постраждалого користувача й повідомила його про це. Розкриті записи зберігалися лише в сховищі, яке використовувалося для історичного офлайнового аналізу. Дані поточних клієнтів і поточний трафік, активні запити на інференс, а також запити й код із режиму конфіденційності не постраждали.

Cursor також повідомила, що робочі системи та інфраструктура, на яких функціонує її сервіс, а також репозиторії коду клієнтів не постраждали. Офіційні оновлення застосунку й код, що постачається клієнтам і хмарним сервісам, також залишилися недоторканими: код релізів зберігається в окремій системі хостингу, до якої зловмисник не отримав доступу, а ключі підпису релізів не було розкрито. Компанія перевірила всі інші розширення у своєму маркетплейсі VS Code, а також перевірила й перебудувала сам маркетплейс.

Компрометація розширення та локалізація інциденту

В оновленні цей злам пов’язано з ранішим повідомленням Cursor про шкідливе розширення Claude Code. 29 жовтня 2026 року зловмисник використав облікові дані, викрадені з розкритих внутрішніх даних, щоб безпосередньо завантажити несанкціоновані збірки в кеш, який обслуговує маркетплейс розширень Cursor для VS Code. Anthropic їх не публікувала, її продукт не був уразливим, а шкідливе програмне забезпечення ніколи не потрапляло до Open VSX — джерела маркетплейсу. За оцінкою Cursor, шкідливу збірку могли отримати не більше ніж 5 000 користувачів, які запитували конкретні версії з кешу, протягом приблизно 11 годин, коли вона була доступна.

30 жовтня 2026 року Cursor опублікувала індикатори компрометації та матеріали з усунення наслідків і почала повідомляти постраждалих користувачів і адміністраторів команд через повідомлення в застосунку та електронною поштою. Адміністратори отримали переліки конкретних ключів, які потрібно замінити через розкриття облікових даних; Cursor звернулася до сторонніх сервісів, що видали ці ключі, із проханням відкликати їх. Клієнтів, чиї дані підтримки або ділові дані могли бути зачеплені, повідомили безпосередньо.

Системи моніторингу Cursor виявили несанкціоновану активність. Із запобіжних міркувань компанія тимчасово вимкнула більше внутрішніх і продуктових сервісів, ніж вимагали наявні докази, через що певні функції стали недоступними; кожен сервіс відновили після перевірки. Cursor вважає, що інцидент локалізовано: останню активність зловмисника зафіксовано 1 листопада 2026 року, і її заблокували. Моніторинг аномальної активності триває.

Відкликання облікових даних і зміни у взаємодії з постачальниками

Cursor перенаправила весь трафік інференсу з Fireworks, деактивувала ключ постачальника й закрила Fireworks доступ до всіх наборів даних, якими з нею ділилася. Усі виявлені облікові дані Cursor, що були розкриті, замінили; згодом, із запобіжних міркувань, замінили й усі облікові дані, які використовувалися у внутрішніх системах, навіть якщо не було доказів їх розкриття. Cursor також, де це було можливо, розширила мережеві обмеження для постачальників послуг, додала сканування секретів у репозиторіях коду та інших внутрішніх джерелах даних, повторно розгорнула робочу інфраструктуру й залучила зовнішніх фахівців із цифрової криміналістики.

В окремому власному бюлетені з безпеки Fireworks AI повідомляє, що 23 жовтня 2026 року стався інцидент у стороннього хмарного провайдера, який розміщував її дослідницькі та розробницькі машини. 24 жовтня 2026 року стороння особа без дозволу отримала доступ до машин розробки Fireworks і запустила несанкціоноване завдання, що призвело до додаткового впливу на дані клієнтів; Fireworks виявила цю активність того самого дня. Після 25 жовтня 2026 року компанія не виявляла подальших успішних спроб несанкціонованого доступу до клієнтської платформи. Ці висновки можуть змінитися за результатами розслідування, яке триває.

Fireworks відкликала й замінила облікові дані та сервісні облікові записи, прибрала зайві підвищені привілеї, обмежила мережеві маршрути, посилила контроль доступу до сховищ і аналітичних систем, а також удосконалила журналювання й моніторинг за допомогою Unit 42 компанії Palo Alto Networks. На час розслідування компанія вимкнула самостійне завантаження й вивантаження наборів даних, що використовувалися для пакетного інференсу та навчання на основі наборів даних. Training SDK і далі доступний із нульовим зберіганням даних: навчальні дані не зберігаються у стані спокою, тоді як навчання на базі Lab відбувається в ізольованому середовищі.

Новий опис інциденту пов’язує компрометацію маркетплейсу з ланцюгом подій, що почався з ключа постачальника й продовжився через облікові дані, залишені в історичних записах. Тому відкликання доступу постачальника та масштабна ротація облікових даних є ключовими складовими оцінки Cursor щодо локалізації інциденту, тоді як розслідування Fireworks триває, тож висновки щодо боку постачальника ще можуть бути переглянуті.