AI 代码编辑器 Cursor 周五发布事件报告，确认其遭遇了一起严重的安全漏洞。攻击者通过窃取第三方 AI 基础设施提供商 Fireworks AI 的访问凭据，获取了 Cursor 内部系统的部分访问权限，并利用这些权限在 Cursor 的 VS Code 扩展市场上分发了一个植入 SSH 后门的恶意版 Anthropic Claude Code 扩展。据估计，多达 5000 名开发者在安装或更新该扩展期间可能受到了影响。
攻击链条：从凭据泄露到供应链投毒
此次攻击并非直接针对 Cursor 的核心基础设施，而是通过供应链的薄弱环节切入：
- 初始入侵：攻击者窃取了存储在 Fireworks AI 上的 Cursor 访问密钥。Fireworks AI 是 Cursor 用于 AI 模型训练和推理的第三方合作伙伴。
- 数据窃取与横向移动：利用暴露的密钥，攻击者从 Cursor 的只读存储桶中复制了历史 AI 编码智能体追踪记录（主要来自 2025 年）。尽管这些数据来自未启用隐私模式的用户，但其中包含少量未脱敏的 API 凭据。攻击者利用这些凭据进一步渗透 Cursor 的其他内部 SaaS 系统。
- 市场投毒：攻击者利用从内部系统窃取的凭据，绕过了正常审核流程，于 10 月 29 日将恶意版的 Claude Code 扩展（版本 2.1.312 和 2.1.313）直接上传至 Cursor 扩展市场的缓存中。
恶意软件行为：持久化 SSH 后门
被篡改的 Claude Code 扩展在执行时会运行恶意 JavaScript 代码，试图在开发者的计算机上建立持久化的远程访问通道：
- 安装后门：收集系统信息，安装攻击者控制的 SSH 公钥，并尝试启用 SSH 服务。
- 持久化机制：配置系统以确保即使重启也能维持远程访问。
- 局限性：安全研究人员发现，由于编码错误，该后门在许多默认未启用 SSH 服务的 Windows 和 macOS 系统上未能成功执行。
受影响范围与数据泄露
Cursor 表示，此次事件的影响范围相对有限，但性质严重：
- 用户影响：约 5000 名用户在恶意扩展可用的 11 小时内请求或更新了受影响的版本。
- 数据泄露：不到 0.05% 的用户其编码智能体追踪记录被暴露；不到 0.01% 的客户其 API 凭据被泄露。
- 内部数据：攻击者窃取了归档的非生产源代码仓库（含商业联系信息）、有限的客户支持记录、产品使用指标及部分 AI 对话摘要。
- 安全边界：Cursor 强调，其生产基础设施、官方应用发布渠道、客户代码仓库以及启用了隐私模式的用户的代码和提示均未受影响。
应急响应与补救措施
在检测到未经授权的活动后，Cursor 迅速采取了以下措施：
- 切断访问：撤销并轮换了所有暴露的 Fireworks AI 访问密钥及内部凭据。
- 隔离与重建：将所有推理流量从 Fireworks AI 迁移，重建了扩展市场基础设施，并作为预防措施重新部署了生产环境。
- 移除恶意软件：在发现后约 11 小时内移除了恶意扩展版本。
- 用户指引：发布了详细的补救指南，建议在安装过受影响扩展的用户检查其 SSH 配置、轮换本地凭据并扫描系统异常。
行业背景：“黑色十月”攻击浪潮
此次事件是近期针对 AI 开发者平台的一系列攻击之一，网络安全公司 Wiz 将其称为“黑色十月”。攻击者专门瞄准开发基础设施以窃取身份验证凭据，进而进行未经授权的 AI 推理（导致巨额费用）或尝试模型蒸馏。此前，Railway、Northflank、Lightning AI、OpenCode、Warp 以及 Fireworks AI 的其他客户（如 Notion）均报告了类似的安全事件。
Cursor 此次漏洞再次凸显了 AI 供应链安全的复杂性，尤其是当核心服务依赖第三方基础设施且涉及大量敏感开发数据时，任何环节的凭据管理疏忽都可能导致严重的连锁反应。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
