Cursor beruht auf Microsofts quelloffenem Editor Visual Studio Code (VS Code) und lässt Entwickler Software mithilfe von KI-Assistenten schreiben, ändern und debuggen. Einzelheiten zum Angriff hat das Unternehmen am Freitag in einem Vorfallbericht veröffentlicht.
Nach Angaben von Cursor lag der Zugangsschlüssel bei Fireworks AI, einem Drittanbieter für das Training von KI-Modellen und für Inferenz. Damit kopierten die Angreifer Daten aus einem schreibgeschützten Speicher-Bucket, über den Cursor Informationen mit Fireworks austauschte. Darin lagen ältere Protokolle von KI-Coding-Agenten, überwiegend aus dem Jahr 2025. Sie stammten von Nutzern, die den Privacy Mode nicht aktiviert hatten und deren Daten für das Modelltraining verwendet werden durften. Einige dieser Protokolle enthielten ungeschwärzte API-Zugangsdaten, mit denen die Angreifer an weitere Cursor-Systeme gelangten. Laut Cursor wurden bei weniger als 0,05 Prozent der Nutzer Agentenprotokolle offengelegt, bei weniger als 0,01 Prozent der Kunden API-Zugangsdaten kompromittiert.
Aus mehreren SaaS-Werkzeugen des Unternehmens stahlen die Angreifer:
- archivierte, nicht produktive Quellcode-Repositorys, teils mit geschäftlichen Kontaktdaten
- begrenzte Kundensupport-Informationen und E-Mail-Verläufe
- Nutzungsmetriken und Kontaktdaten von Kunden
- Zusammenfassungen einiger Gespräche mit KI-Coding-Agenten
- Zugangsdaten, die Kunden zuvor mit dem Support geteilt hatten
Die Überwachungssysteme von Cursor bemerkten die unbefugten Aktivitäten. Das Unternehmen widerrief daraufhin den Fireworks-Schlüssel, tauschte offengelegte Zugangsdaten aus, untersuchte weitere Zugriffe und schaltete vorsorglich einige interne und Produktdienste vorübergehend ab. Zu diesem Zeitpunkt besaßen die Angreifer jedoch bereits Zugangsdaten, mit denen sie Erweiterungen über den Marktplatz ausliefern konnten.
„Am 29. Oktober platzierte der Angreifer mithilfe gestohlener Zugangsdaten aus den offengelegten Daten unseres internen Systems bösartige, nicht autorisierte Kopien von Anthropics Claude-Code-Erweiterung direkt im Cache, über den der VS-Code-Erweiterungsmarktplatz von Cursor ausgeliefert wird“, erklärte Cursor. Die legitime Erweiterung von Anthropic und Open VSX, der von Cursor genutzte Marktplatz, waren nicht kompromittiert. Die manipulierten Versionen 2.1.312 und 2.1.313 standen etwa elf Stunden lang bereit, bevor Cursor sie entfernte.
Die Angreifer hatten die echte Erweiterung so verändert, dass sie bösartiges JavaScript ausführte. Der Schadcode sammelte Systeminformationen, hinterlegte einen von den Angreifern kontrollierten SSH-Schlüssel, versuchte den SSH-Zugang zu aktivieren und richtete Persistenzmechanismen für dauerhaften Fernzugriff ein. Sicherheitsforscher fanden allerdings Programmierfehler, die das Funktionieren der Hintertür auf vielen Windows- und macOS-Systemen ohne bereits aktiviertes SSH wahrscheinlich verhinderten. Cursor schätzt, dass bis zu 5.000 Nutzer, die die betroffenen Versionen im fraglichen Zeitraum abriefen, die bösartigen Builds erhalten haben könnten.
Nicht betroffen waren laut Cursor die Produktionsinfrastruktur, offizielle App-Versionen, Code-Repositorys der Kunden sowie Code und Prompts von Nutzern mit aktiviertem Privacy Mode. Das Unternehmen hat den gesamten Inferenz-Verkehr von Fireworks abgezogen, offengelegte Zugangsdaten widerrufen und erneuert, den Erweiterungsmarktplatz neu aufgebaut und die Produktionsinfrastruktur vorsorglich neu bereitgestellt. Wer die betroffene Claude-Code-Erweiterung während des Angriffs installiert oder aktualisiert hat, soll den Bereinigungshinweisen von Cursor folgen.
Der Vorfall gehört zu einer Angriffswelle auf KI-Entwicklerplattformen, die das Sicherheitsunternehmen Wiz „Black October“ nennt. Ziel war Entwicklungsinfrastruktur, um Zugangsdaten zu stehlen, vor allem solche für KI-Modelle. Gestohlene Zugangsdaten wurden für unbefugte KI-Inferenz genutzt, was den Betroffenen erhebliche Kosten verursachte; einige Fälle stehen zudem mit Versuchen der Modelldestillation in Verbindung. Betroffen waren unter anderem Railway, Northflank, Lightning AI, OpenCode und Warp. Bei Railway erbeuteten Angreifer Authentifizierungsgeheimnisse von Kunden, mit denen später rund 740.000 US-Dollar an betrügerischen KI-Kosten entstanden. Auch OpenCode meldete offengelegte API-Schlüssel und unbefugte KI-Nutzung.
Fireworks AI selbst gab im Oktober mehrere Einbrüche bekannt, darunter einen mit offengelegten API-Schlüsseln und Tokens sowie einen, bei dem Angreifer über einen kompromittierten Cloud-Drittanbieter auf Entwicklungsrechner zugriffen. Davon waren auch andere Kunden betroffen, etwa Notion, das kürzlich offenlegte, dass KI-Chatprotokolle einiger weniger Workspaces offengelegt wurden.