Cursor 公布安全事件调查结果
1. 发布情况
北京时间 11 月 14 日 09:13,Cursor 官方账号发帖,公布此前一起安全事件的调查经过和补救措施。[1] 博客文章的落款日期为美国时间 11 月 13 日。Cursor 曾在 10 月 29 日通报,正在调查一起安全事件,事件涉及 Cursor VS Code 扩展市场中出现的一个恶意、未经授权的 Anthropic Claude Code 扩展副本。[2]
2. 攻击经过
2.1 从服务商处泄露的密钥
根据博客,这次攻击始于第三方训练和推理服务商 Fireworks。Cursor 曾向 Fireworks 签发一把访问密钥,这把密钥从 Fireworks 一方泄露。攻击者借此复制了一个用于向 Fireworks 共享数据的只读存储桶。[2]
2.2 泄露的数据及后续访问
存储桶中有数量有限的编程智能体运行轨迹,主要来自 2025 年,均为未开启隐私模式、并允许用于模型训练的会话。其中少量轨迹含有未脱敏的凭据,API 凭据因此泄露的客户不到 0.01%。攻击者用这些凭据进入了 Cursor 使用的部分 SaaS 工具,进而访问了以下数据:[2]
部分已归档的非生产源代码仓库,其中一些包含商务联系信息。
有限的客户支持数据和邮件往来。
产品使用指标和联系方式。
部分编程智能体对话的摘要。
用户发给支持团队的部分凭据。
2.3 恶意扩展
10 月 29 日,攻击者利用窃取的凭据,把一个经过恶意篡改的 Claude Code 扩展直接放进了 Cursor VS Code 扩展市场的缓存。这个副本不是 Anthropic 发布的,此事也不属于 Anthropic 产品的漏洞,该恶意软件从未出现在上游来源 Open VSX 中。10 月 29 日请求过特定缓存版本的用户中,最多约 5000 人可能收到了恶意构建,这个版本存在约 11 小时后被移除。涉及的版本是 Anthropic.claude-code 2.1.312 和 2.1.313。Cursor 提示,仅仅卸载扩展可能不足以消除影响,受影响的用户应按安全通告中的步骤处理。[2]
3. 影响范围
3.1 受影响的用户
Cursor 表示,绝大多数客户没有受到影响,公司已经逐一直接联系了受影响的客户。在未开启隐私模式的用户中,编程智能体轨迹遭到泄露的不到 0.05%,没有收到通知就说明自己的数据不在其中。[2]
3.2 未受影响的部分
以下部分均未受到影响:[2]
开启隐私模式的用户的提示词和代码。
目前发送给 Cursor 的数据和实时流量。
生产系统和基础设施。
Cursor 应用及其官方更新。发布流程使用一套攻击者没有接触过的独立代码托管系统,签名密钥也没有泄露。
面向团队的云端智能体、Grok Bot 及其他 SpaceX SI 产品。
扩展市场中的其他扩展,以及从 Cursor 插件市场下载的插件。
客户的代码仓库和正在进行中的推理请求。
Cursor 称,最后一次观测到攻击活动是在 11 月 1 日,当时已被拦截,因此判断事件已经得到控制。[2]
4. 补救措施
Cursor 已经采取以下措施:[2]
把全部推理流量迁出 Fireworks,停用相关密钥,并切断 Fireworks 对所有共享数据集的访问。
按风险高低依次轮换所有已发现的泄露凭据,并预防性地轮换内部系统中所有在用的凭据。
核验并重建 VS Code 扩展市场。
在各服务商那里收紧网络访问限制,让泄露的凭据无法在预定位置以外使用。
在所有代码仓库和其他内部数据源中增加密钥扫描。
预防性地重新部署全部生产基础设施。
聘请外部取证专家协助调查。
如有安全问题,可以发邮件到 security
@cursor.com。[2]
注释与来源
[1] Cursor 原帖
[2] Cursor 博客《An update on our recent security incident》