Cursor sparade gamla AI-kodchattar för träning, och hackare hittade lösenord i dem

Cursor, AI-kodredigeraren som bygger på Microsofts Visual Studio Code med öppen källkod, uppger att det senaste intrånget började på en plats de flesta användare aldrig tänker på: gamla kodningssessioner som företaget sparade för att träna AI-modeller. Vissa av de sparade konversationerna innehöll fortfarande lösenord och API-nycklar. Angriparen använde dem för att ta sig djupare in i Cursors system, ända tills den kunde smyga in en bakdörrsförsedd kopia av Anthropic-tillägget Claude Code i redigerarens egen tilläggsmarknadsplats.

Det är den kedjan som spelar roll för alla som klistrar in en hemlighet i en AI-assistent. En nyckel som skrivs in i ett chattfönster försvinner inte när sessionen avslutas. Om verktyget sparar konversationen lever hemligheten vidare i en datamängd, och den som får tillgång till datamängden får också nyckeln.

Enligt Cursors incidentrapport började problemen hos Fireworks AI, ett externt företag som Cursor använde för modellträning och inferens. En angripare kom över en åtkomstnyckel som Cursor hade utfärdat till Fireworks och som, enligt Cursor, Fireworks hade exponerat. Nyckeln användes för att kopiera en skrivskyddad lagringsbucket som företagen delade. Där fanns spår från kodningsagenter, huvudsakligen från 2025, från sessioner där användarna inte hade aktiverat Privacy Mode – inställningen som hindrar Cursor från att använda användarens data för träning. Cursor uppger att spår från färre än 0,05 procent av användarna exponerades och att API-uppgifter från färre än 0,01 procent av kunderna röjdes.

De kvarlämnade inloggningsuppgifterna öppnade dörren till flera av de SaaS-verktyg som Cursor använder. Därifrån fick angriparen tillgång till arkiverad källkod som inte användes i produktionen, mejl till kundsupporten, användningsstatistik och kontaktuppgifter, sammanfattningar av vissa AI-agentkonversationer samt uppgifter som kunder tidigare hade delat med Cursors supportteam, som BleepingComputer rapporterat. En av de stulna uppgifterna gav möjlighet att publicera innehåll i cachen bakom Cursors tilläggsmarknadsplats.

Det var så den falska versionen av Claude Code hamnade där. De manipulerade versionerna, med numren 2.1.312 och 2.1.313, låg ute i omkring 11 timmar, och Cursor uppskattar att upp till 5 000 personer som begärde dem kan ha fått den skadliga versionen. Den körde kod som försökte lägga in angriparens SSH-nyckel och behålla fjärråtkomst till utvecklarens dator. Cursor betonar att Anthropic inte publicerade kopian, att felet inte fanns i Anthropics produkt och att Open VSX, den öppna marknadsplats som Cursor hämtar sina tillägg från, aldrig innehöll skadeprogrammet.

Rapporten lämnar också frågor obesvarade. Cursor har inte uppgett hur många av de 5 000 datorerna som faktiskt fick en fungerande bakdörr. Säkerhetsforskare hittade kodningsfel som sannolikt gjorde att attacken misslyckades på många Windows- och macOS-datorer där SSH inte redan var aktiverat, enligt BleepingComputer. Det innebär att datorer där SSH redan var påslaget var mest utsatta. Företaget har inte heller förklarat varför inloggningsuppgifter lämnades oredigerade i data som det överlämnade till en träningspartner – den verkliga lärdomen för alla AI-kodningsverktyg som lär sig av sina användare. Privacy Mode skyddade dem som aktiverat funktionen, men standardinställningen innebar att alla andras sessioner kunde användas för träning.

Cursor är inte det enda målet. Säkerhetsföretaget Wiz räknade till minst nio AI-plattformar för utvecklare som offentliggjorde incidenter i oktober, i en våg som företaget kallar Black October. Angriparna letade efter lagrade nycklar som ger tillgång till betalda AI-modeller. Även Fireworks avslöjade mer än ett intrång, och Notion uppgav att AI-chattloggar från ett mindre antal arbetsytor hade exponerats via tjänsten. Stulna åtkomstuppgifter säljs vidare eller används för AI-tjänster som faktureras offret. Hos molnvärden Railway användes stulna hemligheter för att dra på sig omkring 740 000 dollar i bedrägliga AI-kostnader, rapporterade BleepingComputer.

Cursor uppger att all inferenstrafik har flyttats från Fireworks, att samtliga inloggningsuppgifter i företagets interna system har bytts ut, att tilläggsmarknadsplatsen har byggts om och att produktionsinfrastrukturen har driftsatts på nytt. Användare av Privacy Mode, Cursor-appen och dess officiella uppdateringar påverkades inte, och inga nycklar för signering av programversioner exponerades. Tjänsten fungerar likadant över hela världen, så rådet gäller på alla marknader: den som installerade eller uppdaterade till Claude Code 2.1.312 eller 2.1.313 från Cursors marknadsplats den 29 oktober bör följa företagets instruktioner för att åtgärda problemet, och teamadministratörer bör kontrollera listan över nycklar som Cursor mejlade till dem.

Det skadliga tillägget blev tillgängligt den 29 oktober, Cursor publicerade sitt första säkerhetsmeddelande den 30 oktober och den sista angriparaktivitet som företaget upptäckte blockerades den 1 november. Den fullständiga incidentrapporten kom den 13 november, och företaget uppger att det kontaktar berörda kunder direkt om ytterligare något framkommer. För utvecklare är den säkraste utgångspunkten enklare än varje säkerhetsuppdatering: ett lösenord som klistrats in i en AI-chatt bör behandlas som om det redan skrivits ned någon annanstans.

Taggar: Anthropic, cybersäkerhet, Claude Code, dataintrång, AI-kodverktyg, Cursor