Cursor хранил старые чаты с ИИ для обучения моделей, и хакеры нашли в них пароли

Cursor — редактор кода с ИИ, созданный на базе Visual Studio Code с открытым исходным кодом от Microsoft, — сообщил, что недавний взлом начался там, где большинство пользователей и не подумало бы искать угрозу: в старых сессиях программирования, которые компания сохраняла для обучения моделей ИИ. В некоторых из этих диалогов по-прежнему хранились пароли и API-ключи. Злоумышленник использовал их, чтобы проникнуть глубже в системы Cursor, а затем незаметно загрузить в собственный магазин расширений редактора модифицированную, содержащую бэкдор копию расширения Claude Code от Anthropic.

Именно эта цепочка событий важна для каждого, кто вводит секретные данные в ИИ-ассистент. Ключ, набранный в окне чата, не исчезает после завершения сессии. Если инструмент сохраняет переписку, секрет остаётся в наборе данных — и тот, кто получит доступ к этому набору, получит и ключ.

Согласно отчёту Cursor об инциденте, всё началось в Fireworks AI — сторонней компании, услугами которой Cursor пользовался для обучения моделей и выполнения запросов к ним. Злоумышленник завладел ключом доступа, который Cursor выдал Fireworks и который, по словам Cursor, оказался раскрыт на стороне Fireworks, а затем использовал его, чтобы скопировать общее хранилище с доступом только для чтения. В нём находились записи работы агентов по программированию — преимущественно за 2025 год, — сделанные во время сессий пользователей, не включивших Privacy Mode, режим, который не позволяет Cursor использовать данные пользователя для обучения. Cursor утверждает, что утечка затронула записи менее 0,05% пользователей, а учётные данные API оказались раскрыты у менее чем 0,01% клиентов.

Эти сохранившиеся учётные данные открыли доступ к нескольким облачным сервисам, которыми пользуется Cursor. Оттуда злоумышленник добрался до архивного исходного кода, не предназначенного для рабочей среды, писем службы поддержки клиентов, статистики использования и контактных данных, кратких изложений некоторых диалогов с ИИ-агентами, а также учётных данных, которыми клиенты когда-то поделились с командой поддержки Cursor, подробно пишет BleepingComputer. Один из украденных ключей позволял публиковать файлы в кэше, лежащем в основе магазина расширений Cursor.

Так в редакторе и появилось поддельное расширение Claude Code. Изменённые версии под номерами 2.1.312 и 2.1.313 оставались доступными около 11 часов; по оценке Cursor, вредоносную сборку могли получить до 5 000 человек, запросивших её. Она запускала код, который пытался установить SSH-ключ злоумышленника и сохранить удалённый доступ к компьютеру разработчика. Cursor подчёркивает, что эту копию опубликовала не Anthropic, уязвимость находилась не в продукте Anthropic, а вредоносное ПО никогда не попадало в Open VSX — открытый магазин, откуда Cursor берёт расширения.

В отчёте остаются и невыясненные вопросы. Cursor не сообщил, сколько из этих 5 000 компьютеров действительно получили работоспособный бэкдор. Как пишет BleepingComputer, исследователи безопасности обнаружили ошибки в коде, которые, вероятно, помешали вредоносной программе сработать на многих компьютерах под Windows и macOS, где SSH не был включён заранее. Это означает, что наибольшему риску подверглись компьютеры, где SSH уже был активирован. Компания также не объяснила, почему учётные данные не были скрыты в данных, переданных партнёру по обучению моделей, — именно в этом и заключается главный урок для каждого инструмента ИИ-программирования, который учится на пользовательских данных. Privacy Mode защитил тех, кто его включил, но настройки по умолчанию оставляли сессии всех остальных доступными для обучения.

Cursor — не единственная цель атак. Компания по кибербезопасности Wiz насчитала как минимум девять платформ для разработчиков ИИ, сообщивших об инцидентах в октябре. Эту волну она назвала Black October: злоумышленники охотились за сохранёнными ключами, открывающими доступ к платным моделям ИИ. Сама Fireworks сообщила более чем об одном случае взлома, а Notion заявила, что через Fireworks стали доступны расшифровки ИИ-чатов из небольшого числа рабочих пространств. Украденные данные доступа перепродают или используют для ИИ-запросов, счета за которые выставляют жертве. Как сообщило BleepingComputer, в облачном сервисе Railway похищенные секреты использовали, чтобы незаконно начислить около 740 000 долларов за услуги ИИ.

Cursor сообщает, что перенёс весь трафик запросов к моделям с Fireworks, сменил все учётные данные во внутренних системах, пересобрал магазин расширений и заново развернул рабочую инфраструктуру. Пользователи с включённым Privacy Mode, приложение Cursor и его официальные обновления не пострадали; ключи для подписи релизов не были раскрыты. Сервис работает одинаково во всём мире, поэтому рекомендации актуальны для пользователей в любой стране: всем, кто 29 октября установил или обновил Claude Code до версии 2.1.312 или 2.1.313 из магазина Cursor, следует выполнить указанные компанией шаги по устранению последствий, а администраторам команд — проверить список ключей, который Cursor отправил им по электронной почте.

Вредоносное расширение появилось в магазине 29 октября, первое уведомление о безопасности Cursor опубликовал 30 октября, а последнюю выявленную активность злоумышленника заблокировали 1 ноября. Полный отчёт об инциденте вышел 13 ноября. Компания заявляет, что напрямую свяжется с пострадавшими клиентами, если обнаружится что-то ещё. Разработчикам стоит исходить из простого правила, которое важнее любого исправления: пароль, вставленный в чат с ИИ, нужно считать уже записанным где-то ещё.

Теги: кибербезопасность, Anthropic, утечка данных, Claude Code, Cursor, Fireworks AI