Cursor підтвердив злам: через маркетплейс поширили шкідливий Claude Code
Cursor розслідує інцидент, унаслідок якого зловмисники 29 жовтня поширили змінені версії розширення Claude Code через його маркетплейс і отримали доступ до частини клієнтських даних.
Команда Cursor оприлюднила звіт про інцидент безпеки: зловмисники викрали облікові дані в постачальника AI-інфраструктури Fireworks AI, проникли у внутрішні системи та через маркетплейс компанії поширили шкідливі версії розширення Claude Code для VS Code.
Як відбувся злам
Атака почалася з доступу до ключа, збереженого у Fireworks AI, який дозволив копіювати дані з read-only бакета, що використовувався для обміну інформацією між сервісами. У сховищі були історичні трейси AI-агентів (переважно за 2025 рік) від користувачів без увімкненого Privacy Mode; частина трейсів містила неретушовані API-ключі.
За даними компанії, менше 0,05% користувачів мали розкриті трейси, а менше 0,01% клієнтів — скомпрометовані API-облікові дані. Використавши ці дані, зловмисники дісталися до кількох SaaS-інструментів Cursor і витягли окремі масиви інформації.
Які дані викрадено
- Архівні (непродакшн) репозиторії вихідного коду Cursor з бізнес-контактами.
- Обмежені дані підтримки та листування електронною поштою.
- Метрики використання продукту й контактні дані клієнтів.
- Стислий зміст частини розмов AI-агентів.
- Облікові дані, які клієнти раніше передавали в підтримку.
Компрометація маркетплейсу та шкідливе розширення
Отримавши додаткові облікові дані з внутрішніх систем, нападники 29 жовтня розмістили у кеші, що обслуговує маркетплейс Cursor, модифіковані копії розширення Anthropic Claude Code (версії 2.1.312 та 2.1.313). Вони були доступні приблизно 11 годин, після чого їх видалили. Легітимне розширення Anthropic та платформа Open VSX не були скомпрометовані.
Шкідливий код виконував JavaScript, який намагався зібрати системну інформацію, встановити контрольований зловмисниками SSH-ключ, увімкнути SSH-доступ і закріпити присутність. Дослідники безпеки виявили помилки в коді, що ймовірно завадили бекдору працювати на багатьох системах Windows і macOS без попередньо активованого SSH.
За оцінкою Cursor, до 5 000 користувачів, які запитали вказані версії у вікно доступності, могли отримати шкідливі збірки.
Що було захищено і які кроки зроблено
Компанія заявляє, що продакшн-інфраструктура, офіційні релізи застосунку, клієнтські репозиторії коду, а також код і підказки користувачів із увімкненим Privacy Mode не постраждали. Після виявлення активності Cursor відкликав ключ доступу Fireworks, ротує скомпрометовані облікові дані, тимчасово вимикав окремі сервіси, перебудував маркетплейс розширень і превентивно перевикотив продакшн-інфраструктуру; увесь inference-трафік перенесено з Fireworks.
Контекст «Black October»
Інцидент збігся з хвилею атак на платформи для AI-розробників, яку у Wiz назвали «Black October». Напади були націлені на крадіжку облікових даних та несанкціонований доступ до AI-моделей, інколи — з подальшими витратами на обчислення та спробами дистиляції моделей.
Що робити користувачам
Клієнтам, які встановили або оновили Claude Code до уражених версій під час атаки, рекомендують виконати настанови з реагування, опубліковані Cursor.
