Cursor păstra chaturi de programare pentru AI, iar hackerii au găsit parole în ele

Cursor, editorul de cod cu inteligență artificială construit pe baza Visual Studio Code, proiectul open-source al Microsoft, spune că breșa recentă a pornit dintr-un loc la care majoritatea utilizatorilor nu se gândesc: sesiunile vechi de programare pe care compania le păstra pentru antrenarea modelelor AI. Unele dintre conversațiile salvate conțineau încă parole și chei API. Atacatorul s-a folosit de ele pentru a pătrunde mai adânc în sistemele Cursor, până când a reușit să introducă în propriul magazin de extensii al editorului o copie compromisă a extensiei Claude Code de la Anthropic.

Acesta este aspectul important pentru oricine lipește un secret într-un asistent AI. O cheie introdusă într-o fereastră de chat nu dispare odată cu încheierea sesiunii. Dacă instrumentul păstrează conversația, secretul rămâne într-un set de date, iar oricine ajunge la acel set obține și cheia.

Potrivit raportului Cursor despre incident, problemele au început la Fireworks AI, o companie externă pe care Cursor o folosea pentru antrenarea modelelor și inferență. Un atacator a obținut o cheie de acces pe care Cursor o emisese pentru Fireworks și pe care, potrivit Cursor, Fireworks a expus-o, apoi a folosit-o pentru a copia un spațiu de stocare cu acces doar în citire, partajat de cele două companii. Acolo se aflau urme ale activității agenților de programare, în principal din 2025, provenite din sesiuni în care utilizatorii nu activaseră Privacy Mode, setarea care împiedică Cursor să le folosească datele pentru antrenare. Cursor spune că au fost expuse urmele a mai puțin de 0,05% dintre utilizatori, iar datele de autentificare API au fost expuse pentru mai puțin de 0,01% dintre clienți.

Aceste date de autentificare rămase în sistem au deschis accesul la mai multe dintre instrumentele software-as-a-service folosite de Cursor. De acolo, atacatorul a ajuns la cod-sursă arhivat, care nu era destinat producției, la e-mailuri trimise echipei de asistență pentru clienți, la date despre utilizare și detalii de contact, la rezumate ale unor conversații cu agenți AI și la datele de autentificare pe care clienții le partajaseră cândva cu echipa de asistență Cursor, după cum a relatat BleepingComputer. Una dintre datele de autentificare furate permitea publicarea în memoria cache din spatele magazinului de extensii Cursor.

Așa a ajuns acolo copia falsă Claude Code. Versiunile modificate, cu numerele 2.1.312 și 2.1.313, au rămas disponibile aproximativ 11 ore, iar Cursor estimează că până la 5.000 de persoane care le-au solicitat ar fi putut primi versiunea malițioasă. Aceasta rula un cod care încerca să instaleze cheia SSH a atacatorului și să-i păstreze accesul de la distanță la computerul dezvoltatorului. Cursor subliniază că Anthropic nu a publicat copia, că problema nu ținea de produsul Anthropic și că Open VSX, magazinul deschis de unde Cursor își preia extensiile, nu a distribuit niciodată programul malițios.

Raportul lasă și unele întrebări fără răspuns. Cursor nu a precizat câte dintre cele 5.000 de calculatoare au ajuns efectiv să aibă un backdoor funcțional. Cercetătorii în securitate au identificat erori de cod care probabil au împiedicat programul să funcționeze pe multe calculatoare cu Windows și macOS, dacă SSH nu era deja activat, potrivit BleepingComputer; asta înseamnă că cele mai expuse au fost calculatoarele pe care SSH era deja pornit. Compania nu a explicat nici de ce datele de autentificare au rămas fără anonimizare în setul de date pe care l-a transmis unui partener de antrenare — aceasta fiind adevărata lecție pentru orice instrument de programare cu AI care învață din activitatea utilizatorilor. Privacy Mode i-a protejat pe cei care l-au activat, însă setarea implicită lăsa sesiunile tuturor celorlalți la dispoziția procesului de antrenare.

Cursor nu este singura țintă. Compania de securitate Wiz a numărat cel puțin nouă platforme AI pentru dezvoltatori care au dezvăluit incidente în octombrie, într-un val pe care l-a numit Black October, în care atacatorii au căutat chei stocate ce le-ar fi permis să acceseze modele AI cu plată. Fireworks a dezvăluit la rândul său mai multe breșe, iar Notion a spus că transcrierile conversațiilor AI dintr-un număr mic de spații de lucru au fost expuse prin intermediul companiei. Accesul furat este revândut sau folosit pentru a genera costuri de utilizare AI facturate victimei. La furnizorul de găzduire cloud Railway, după cum a relatat BleepingComputer, secretele furate au fost folosite pentru a acumula costuri frauduloase de aproximativ 740.000 de dolari pentru servicii AI.

Cursor spune că a mutat tot traficul de inferență în afara Fireworks, a schimbat toate datele de autentificare din sistemele sale interne, a reconstruit magazinul de extensii și și-a redeployat infrastructura de producție. Utilizatorii Privacy Mode, aplicația Cursor și actualizările sale oficiale nu au fost afectate, iar cheile de semnare a versiunilor nu au fost expuse. Serviciul funcționează la fel în toată lumea, așa că recomandarea se aplică pe orice piață: oricine a instalat sau a actualizat Claude Code la versiunea 2.1.312 sau 2.1.313 din magazinul Cursor pe 29 octombrie ar trebui să urmeze pașii de remediere indicați de companie, iar administratorii echipelor ar trebui să verifice lista de chei pe care Cursor le-a trimis prin e-mail.

Extensia malițioasă a fost publicată pe 29 octombrie, Cursor a publicat primul său anunț de securitate pe 30 octombrie, iar ultima activitate a atacatorului detectată de companie a fost blocată pe 1 noiembrie. Raportul complet despre incident a fost publicat pe 13 noiembrie, iar compania spune că va contacta direct clienții afectați dacă mai descoperă ceva. Pentru dezvoltatori, cea mai sigură presupunere este mai simplă decât orice actualizare de securitate: o parolă lipită într-un chat AI trebuie tratată ca și cum ar fi fost deja notată în altă parte.

Etichete: Anthropic, securitate cibernetică, Claude Code, breșă de date, Cursor, programare cu AI