Cursor trzymał czaty z kodowania do trenowania AI, a hakerzy znaleźli w nich hasła

Cursor, edytor kodu oparty na otwartoźródłowym Visual Studio Code firmy Microsoft, poinformował, że niedawny atak rozpoczął się w miejscu, o którym większość użytkowników nawet nie pomyśli: w zapisanych przez firmę starych sesjach kodowania, wykorzystywanych do trenowania modeli AI. Niektóre z przechowywanych rozmów wciąż zawierały hasła i klucze API. Napastnik użył ich, by dostać się głębiej do systemów Cursora, a następnie umieścić zmodyfikowaną, zawierającą tylną furtkę kopię rozszerzenia Claude Code firmy Anthropic w sklepie z rozszerzeniami samego edytora.

To właśnie ten ciąg zdarzeń ma znaczenie dla każdego, kto wkleja poufne dane do asystenta AI. Klucz wpisany w oknie czatu nie znika wraz z końcem sesji. Jeśli narzędzie przechowuje rozmowę, sekret pozostaje w zbiorze danych, a każdy, kto uzyska do niego dostęp, może przejąć również ten klucz.

Z raportu Cursor dotyczącego incydentu wynika, że problemy zaczęły się w Fireworks AI, zewnętrznej firmie, z której usług Cursor korzystał przy trenowaniu modeli i generowaniu odpowiedzi. Napastnik zdobył klucz dostępu, który Cursor wystawił Fireworks, a który — jak twierdzi Cursor — został ujawniony przez Fireworks. Następnie skopiował współdzielony przez obie firmy zasobnik danych dostępny tylko do odczytu. Znajdowały się w nim ślady działania agentów kodujących, pochodzące głównie z 2025 roku, z sesji użytkowników, którzy nie włączyli Privacy Mode — ustawienia uniemożliwiającego Cursorowi wykorzystywanie ich danych do trenowania modeli. Cursor podaje, że ujawniono ślady dotyczące mniej niż 0,05% użytkowników, a dane uwierzytelniające API — mniej niż 0,01% klientów.

Polecana lekturaTrine 6 znosi blokady postaci i daje moc spowalniania czasu każdemu bohaterowi

Te pozostawione dane uwierzytelniające otworzyły dostęp do kilku narzędzi SaaS używanych przez Cursor. Stamtąd napastnik dostał się do zarchiwizowanego kodu źródłowego spoza środowiska produkcyjnego, e-maili do działu obsługi klienta, statystyk użycia i danych kontaktowych, podsumowań niektórych rozmów z agentami AI oraz danych logowania, które klienci udostępnili wcześniej zespołowi wsparcia Cursor — jak szczegółowo opisał BleepingComputer. Jedno ze skradzionych poświadczeń pozwalało publikować w pamięci podręcznej sklepu z rozszerzeniami Cursor.

Tak właśnie pojawił się fałszywy Claude Code. Zmodyfikowane wersje o numerach 2.1.312 i 2.1.313 były dostępne przez około 11 godzin. Cursor szacuje, że złośliwą wersję mogło otrzymać nawet 5000 osób, które o nią poprosiły. Zawierała ona kod próbujący zainstalować klucz SSH napastnika i zapewnić mu zdalny dostęp do komputera programisty. Cursor podkreśla, że kopii nie opublikowała firma Anthropic, luka nie znajdowała się w jej produkcie, a złośliwe oprogramowanie nigdy nie trafiło do Open VSX — otwartego sklepu, z którego Cursor pobiera rozszerzenia.

Raport nie wyjaśnia jednak wszystkiego. Cursor nie podał, na ilu z tych 5000 komputerów udało się faktycznie uruchomić tylną furtkę. Badacze bezpieczeństwa znaleźli błędy w kodzie, które prawdopodobnie uniemożliwiły jej działanie na wielu komputerach z systemami Windows i macOS, na których SSH nie było wcześniej włączone — informuje BleepingComputer. Najbardziej narażone pozostają więc urządzenia, na których SSH było już aktywne. Firma nie wyjaśniła też, dlaczego dane uwierzytelniające nie zostały zamaskowane w materiałach przekazanych partnerowi zajmującemu się trenowaniem modeli. To najważniejsza lekcja dla każdego narzędzia AI do programowania, które uczy się na podstawie danych użytkowników. Privacy Mode chronił osoby, które go włączyły, ale przy domyślnych ustawieniach sesje wszystkich pozostałych mogły być wykorzystywane do trenowania modeli.

Cursor nie był jedynym celem. Firma zajmująca się bezpieczeństwem Wiz naliczyła co najmniej dziewięć platform AI dla programistów, które ujawniły incydenty w październiku. Tę falę ataków określa mianem Black October; napastnicy polowali na przechowywane klucze odblokowujące płatne modele AI. Fireworks samo ujawniło więcej niż jeden incydent, a Notion poinformowało, że za pośrednictwem Fireworks doszło do ujawnienia zapisów rozmów z AI z niewielkiej liczby przestrzeni roboczych. Skradzione dane dostępowe są odsprzedawane albo wykorzystywane do generowania kosztów za usługi AI, którymi obciążana jest ofiara. Jak podał BleepingComputer, w przypadku hostingu Railway skradzione sekrety posłużyły do naliczenia około 740 000 dolarów nieuczciwych opłat za korzystanie z AI.

Cursor informuje, że przeniósł cały ruch związany z generowaniem odpowiedzi poza Fireworks, zmienił wszystkie dane uwierzytelniające w swoich systemach wewnętrznych, przebudował sklep z rozszerzeniami i ponownie wdrożył infrastrukturę produkcyjną. Użytkownicy Privacy Mode, aplikacja Cursor i jej oficjalne aktualizacje nie zostały dotknięte incydentem, a klucze używane do podpisywania wydań nie wyciekły. Usługa działa tak samo na całym świecie, dlatego zalecenia dotyczą użytkowników na każdym rynku: każdy, kto 29 października zainstalował lub zaktualizował Claude Code 2.1.312 albo 2.1.313 ze sklepu Cursor, powinien wykonać zalecane przez firmę kroki naprawcze, a administratorzy zespołów powinni sprawdzić listę kluczy przesłaną im przez Cursor w wiadomości e-mail.

Złośliwe rozszerzenie pojawiło się 29 października, Cursor opublikował pierwsze ostrzeżenie o zagrożeniu 30 października, a ostatnią wykrytą aktywność napastnika zablokowano 1 listopada. Pełny raport dotyczący incydentu ukazał się 13 listopada. Firma zapowiada, że skontaktuje się bezpośrednio z klientami, których problem dotyczy, jeśli pojawią się kolejne informacje. Programiści mogą przyjąć prostą i bezpieczniejszą zasadę, która nie wymaga żadnej poprawki: hasło wklejone do czatu AI należy traktować tak, jakby zostało już zapisane gdzieś indziej.

Tagi: cyberbezpieczeństwo, Anthropic, Claude Code, wyciek danych, Cursor, programowanie z AI

Więcej podobnych

iPhone Ultra rezygnuje z Face ID, rozkłada się do 7,8 cala i kosztuje od 2 000 dolarów

Fei-Fei Li po sprzedaży World Labs firmie AMD: „Wszechświat nie składa się ze słów, tylko z prawdziwych rzeczy…”

Claude Fable 5.2 kontra 5.1: tańszy token, a w teście rachunek wyższy o 56%

Assassin’s Creed Black Flag Resynced usuwa współczesne sekwencje i zyskuje na tym

Nowa AI Google przewiduje deszcz o 50% trafniej — i jest już aktywna w Maps i Search

GPT-5.6 dostępny publicznie — trzy poziomy cenowe i pierwsza akceptacja Białego Domu dla modelu AI