Cursor lagret gamle AI-kodechatter til trening, og hackere fant passord i dem

Cursor, KI-kodeeditoren som bygger på Microsofts åpen kildekode-editor Visual Studio Code, sier at det nylige sikkerhetsbruddet startet et sted de færreste brukerne tenker på: gamle kodeøkter selskapet hadde lagret for å trene KI-modeller. Noen av samtalene inneholdt fortsatt passord og API-nøkler. Angriperen brukte dem til å trenge dypere inn i Cursors systemer, helt til vedkommende klarte å snike en manipulert kopi av Anthropic-utvidelsen Claude Code inn i editorens egen utvidelsesmarkedsplass.

Det er denne kjeden som er viktig for alle som limer inn en hemmelighet i en KI-assistent. En nøkkel som skrives inn i et chatvindu, forsvinner ikke når økten er over. Hvis verktøyet lagrer samtalen, blir hemmeligheten liggende i et datasett, og den som får tilgang til datasettet, får også tak i nøkkelen.

Ifølge Cursors rapport om hendelsen startet problemene hos Fireworks AI, et eksternt selskap Cursor brukte til modelltrening og inferens. En angriper fikk tak i en tilgangsnøkkel Cursor hadde utstedt til Fireworks, og som Cursor sier at Fireworks hadde eksponert, og brukte den til å kopiere en lagringsbøtte med skrivebeskyttet tilgang som de to selskapene delte. Der lå det spor fra kodeagenter, hovedsakelig fra 2025, fra økter der brukerne ikke hadde slått på Privacy Mode – innstillingen som hindrer Cursor i å bruke dataene dine til trening. Cursor sier at spor fra færre enn 0,05 prosent av brukerne ble eksponert, og at API-opplysninger fra færre enn 0,01 prosent av kundene kom på avveie.

Disse gjenværende tilgangsopplysningene ga tilgang til flere av programvaretjenestene Cursor bruker. Derfra kom angriperen videre til arkivert kildekode som ikke var i produksjon, e-poster til kundestøtte, brukstall og kontaktopplysninger, sammendrag av enkelte KI-agentsamtaler og tilgangsopplysninger kunder tidligere hadde delt med Cursors kundestøtte, slik BleepingComputer har beskrevet. Én stjålet tilgangsopplysning kunne brukes til å publisere i hurtigbufferen bak Cursors utvidelsesmarkedsplass.

Slik kom den falske Claude Code-utvidelsen inn. De manipulerte versjonene, med numrene 2.1.312 og 2.1.313, lå ute i rundt 11 timer, og Cursor anslår at opptil 5 000 personer som ba om dem, kan ha fått den skadelige versjonen. Den kjørte kode som forsøkte å legge inn angriperens SSH-nøkkel og opprettholde fjerntilgang til utviklerens datamaskin. Cursor understreker at Anthropic ikke publiserte kopien, at sårbarheten ikke lå i Anthropics produkt, og at Open VSX, den åpne markedsplassen Cursor henter utvidelsene sine fra, aldri distribuerte skadevaren.

Rapporten etterlater også ubesvarte spørsmål. Cursor har ikke sagt hvor mange av de 5 000 maskinene som faktisk endte opp med en fungerende bakdør. Sikkerhetsforskere fant kodefeil som trolig hindret skadevaren i å virke på mange Windows- og macOS-maskiner der SSH ikke allerede var aktivert, ifølge BleepingComputer. Dermed var maskiner med SSH slått på fra før mest utsatt. Selskapet har heller ikke forklart hvorfor tilgangsopplysninger ikke var sladdet i dataene det ga til en treningspartner. Det er den viktigste lærdommen for alle KI-kodeverktøy som lærer av brukerne sine. Privacy Mode beskyttet dem som hadde slått funksjonen på, men standardinnstillingen lot alle andres økter være tilgjengelige for trening.

Cursor er ikke det eneste målet. Sikkerhetsselskapet Wiz telte minst ni KI-plattformer for utviklere som varslet om hendelser i oktober – en bølge selskapet kaller Black October – der angripere jaktet på lagrede nøkler som gir tilgang til betalte KI-modeller. Fireworks varslet selv om mer enn ett sikkerhetsbrudd, og Notion sa at KI-chatutskrifter fra et lite antall arbeidsområder var blitt eksponert via Fireworks. Stjålet tilgang blir solgt videre eller brukt til KI-forbruk som faktureres offeret. Hos skyleverandøren Railway ble stjålne hemmeligheter brukt til å pådra seg rundt 740 000 dollar i falske KI-kostnader, meldte BleepingComputer.

Cursor sier at selskapet har flyttet all inferenstrafikk bort fra Fireworks, skiftet ut alle tilgangsopplysninger i de interne systemene, bygget opp utvidelsesmarkedsplassen på nytt og distribuert produksjonsinfrastrukturen på nytt. Brukere med Privacy Mode aktivert, Cursor-appen og selskapets offisielle oppdateringer ble ikke berørt, og ingen nøkler for signering av programvareutgivelser ble eksponert. Tjenesten fungerer likt over hele verden, så rådet gjelder i alle markeder: Alle som installerte eller oppdaterte til Claude Code 2.1.312 eller 2.1.313 fra Cursors markedsplass 29. oktober, bør følge selskapets tiltak for å rette opp skaden. Teamadministratorer bør også sjekke listen over nøkler Cursor sendte dem på e-post.

Den skadelige utvidelsen ble tilgjengelig 29. oktober, Cursor publiserte sin første sikkerhetsmelding 30. oktober, og den siste aktiviteten fra angriperen som selskapet oppdaget, ble stanset 1. november. Den fullstendige rapporten om hendelsen kom 13. november, og selskapet sier at det vil kontakte berørte kunder direkte hvis det dukker opp mer informasjon. For utviklere er den tryggeste tommelfingerregelen enklere enn enhver sikkerhetsoppdatering: Et passord som limes inn i en KI-chat, bør behandles som om det allerede er skrevet ned et annet sted.

Tagger: Anthropic, cybersikkerhet, Claude Code, datainnbrudd, AI-kodeverktøy, Cursor