Uma chave de acesso exposta pela fornecedora Fireworks AI abriu caminho para uma sequência de acessos não autorizados que terminou na distribuição de versões adulteradas da extensão Claude Code no marketplace da Cursor. A cadeia de comprometimento foi detalhada pela empresa em 13 de novembro, duas semanas após o incidente que pode ter exposto até 5 mil usuários a arquivos maliciosos.
O relatório esclarece como o invasor passou de uma integração externa para ferramentas internas da Cursor e, posteriormente, para a infraestrutura responsável por distribuir extensões aos desenvolvedores. A empresa afirma ter contido o ataque e notificado diretamente os clientes afetados.
Credencial de fornecedor foi o primeiro elo da invasão
Segundo a investigação, o invasor obteve uma chave que a Cursor havia fornecido à Fireworks AI. A credencial permitiu copiar dados de um armazenamento compartilhado com a fornecedora, utilizado para disponibilizar registros históricos de agentes de programação destinados ao treinamento de modelos.
Esses registros, principalmente de 2025, pertenciam a sessões realizadas fora do Privacy Mode. Parte deles continha credenciais que não haviam sido removidas antes do armazenamento.
Com essas informações, o atacante conseguiu acessar determinados serviços corporativos utilizados pela Cursor. Entre os materiais alcançados estavam repositórios arquivados de código não utilizado em produção, dados limitados de atendimento, conversas por e-mail, métricas de utilização e resumos de interações com agentes.
Em uma etapa posterior, utilizando outra credencial obtida de dados internos, o invasor conseguiu inserir cópias maliciosas da extensão Claude Code diretamente no cache responsável por atender às solicitações do marketplace da Cursor.
A alteração não ocorreu na distribuição oficial da Anthropic nem no Open VSX, repositório utilizado como origem pelo marketplace. A Microsoft, que analisou independentemente o código malicioso em outubro, confirmou que os pacotes adulterados também não foram distribuídos pelo Visual Studio Marketplace oficial.
Até 5 mil usuários podem ter recebido versões adulteradas
As versões envolvidas foram `Anthropic.claude-code 2.1.312` e `2.1.313`, disponibilizadas em 29 de outubro por aproximadamente 11 horas.
Segundo a Cursor, até 5 mil usuários solicitaram versões armazenadas no cache comprometido e podem ter recebido os arquivos modificados. O número representa o alcance potencial da distribuição, não uma confirmação de que todos esses dispositivos foram comprometidos.
A análise técnica publicada pela Microsoft identificou código capaz de coletar informações do computador, adicionar uma chave SSH controlada pelo invasor e tentar estabelecer uma conexão remota persistente. A execução bem-sucedida dessas ações dependia das permissões e da configuração de cada máquina.
Quanto à exposição de dados internos, a Cursor afirma que menos de 0,01% de seus clientes tiveram credenciais de API expostas. Registros de agentes foram acessados para menos de 0,05% dos usuários fora do Privacy Mode.
A companhia sustenta que seus sistemas de produção, repositórios de código dos clientes, atualizações oficiais do aplicativo e dados protegidos pelo Privacy Mode não foram comprometidos.
Cursor reforça controles e orienta usuários afetados
Após identificar a atividade suspeita, a empresa revogou credenciais, interrompeu o acesso da Fireworks aos dados compartilhados e transferiu seu tráfego de inferência para outros fornecedores. Também reconstruiu o marketplace, ampliou verificações de segurança e contratou especialistas externos para apoiar a investigação.
A última atividade atribuída ao invasor foi identificada e bloqueada em 1º de novembro. A Cursor considera o incidente contido, embora mantenha o monitoramento de seus sistemas.
Usuários que instalaram ou atualizaram as versões afetadas pelo marketplace da Cursor durante o período de exposição devem seguir as instruções do aviso de segurança publicado em 29 de outubro.
A orientação inclui verificar indicadores de comprometimento, remover possíveis mecanismos de persistência e substituir credenciais potencialmente expostas. Desinstalar a extensão, isoladamente, pode não eliminar os componentes maliciosos deixados no computador.
