Cursor : une clé confiée à Fireworks AI mène au vol de traces d'agents et à une extension Claude Code piégée dans sa marketplace

Comment c'est arrivé

Cursor écrit : « Un attaquant a obtenu une clé d'accès que nous avions délivrée à Fireworks. La clé a été exposée par Fireworks. » Cette clé ouvrait un espace de stockage en lecture seule que Cursor utilisait pour partager des données avec Fireworks, contenant des traces d'agents de code, surtout de 2025, issues de sessions hors Privacy Mode. Certaines traces contenaient des identifiants en clair, qui ont permis à l'attaquant d'atteindre certains outils SaaS utilisés par Cursor. Ensuite, « avec un identifiant volé dans les données exposées de notre système interne », l'attaquant a déposé des copies piégées de l'extension Claude Code d'Anthropic directement dans le cache qui sert la marketplace d'extensions VS Code de Cursor. Cursor précise qu'Anthropic n'a pas publié cette copie, qu'il ne s'agit pas d'une faille du produit d'Anthropic, et que la source de la marketplace, Open VSX, n'a jamais contenu le malware.[1] Vérifié le 14 nov. 2026

Ce qui a été volé

Des traces d'agents de code issues de l'espace partagé, dont certaines avec des identifiants d'API ; des dépôts de code de Cursor archivés, hors production (certains avec des coordonnées professionnelles) ; une partie des données du support et des échanges par e-mail ; des statistiques d'usage et des coordonnées ; des résumés de certaines conversations d'agents ; et des identifiants que des utilisateurs avaient envoyés au support de Cursor. Sur les machines où l'extension piégée a tourné, elle envoyait des informations sur la machine (nom d'hôte, utilisateur, système, noms des variables d'environnement, e-mail Git, IP publique), tentait d'ajouter une clé SSH de l'attaquant nommée « svc-telemetry », d'activer SSH et d'ouvrir un tunnel inverse, et s'installait de façon persistante. Cursor indique que les données en Privacy Mode, les dépôts de code des clients, les systèmes de production et ses clés de signature des versions n'ont pas été touchés.[1][2] Vérifié le 14 nov. 2026

Qui est touché

5 000 utilisateurs au plus, ceux qui ont demandé les versions en cache le 29 octobre, ont pu recevoir la version malveillante ; le nombre exact de machines compromises n'est pas donné. Moins de 0,05 % des utilisateurs ont vu des traces d'agents exposées et moins de 0,01 % des clients des identifiants d'API ; Cursor dit avoir prévenu chacun directement, et les utilisateurs non prévenus ne figurent pas dans les données touchées.[1] Vérifié le 14 nov. 2026

Acteur

Non attribué

Chronologie

1. 29 oct. 2026Des versions piégées d'Anthropic.claude-code 2.1.312 et 2.1.313 sont servies par la marketplace de Cursor entre environ 2 h 27 et 13 h 35, heure du Pacifique. Cursor les retire, arrête la marketplace, renouvelle ses clés, la reconstruit et publie un avis de sécurité avec des indicateurs et des scripts de nettoyage. [2]
2. 30 oct. 2026Cursor met à jour son avis avec des indicateurs et des versions touchées précisés, et commence à prévenir utilisateurs et administrateurs dans l'application et par e-mail. [1][2]
3. 1 nov. 2026Dernière activité de l'attaquant observée par Cursor ; elle a été bloquée. [1]
4. 13 nov. 2026Cursor publie la cause : la clé d'accès délivrée à Fireworks, exposée par Fireworks. Cursor a retiré tout son trafic d'inférence de Fireworks, désactivé la clé, coupé son accès aux données partagées, renouvelé tous les identifiants en usage interne, ajouté une détection de secrets et mandaté des experts en investigation. L'entreprise estime l'incident contenu. [1][3]