Cursor gemte gamle AI-kodechats til træning, og hackere fandt adgangskoder i dem

Cursor, AI-kodeeditoren, der er bygget på Microsofts open source-platform Visual Studio Code, siger, at det nylige sikkerhedsbrud begyndte et sted, de færreste brugere tænker over: gamle kodningssessioner, som virksomheden havde gemt for at træne AI-modeller. Nogle af de gemte samtaler indeholdt stadig adgangskoder og API-nøgler. Angriberen brugte dem til at trænge længere ind i Cursors systemer, indtil vedkommende kunne snige en bagdørsskadet kopi af Anthropic‘s Claude Code-udvidelse ind på editorens egen markedsplads for udvidelser.

Det er den del af forløbet, der er vigtig for alle, som indsætter en hemmelighed i en AI-assistent. En nøgle, der skrives i et chatvindue, forsvinder ikke, når sessionen slutter. Hvis værktøjet gemmer samtalen, bliver hemmeligheden liggende i et datasæt, og den, der får adgang til datasættet, får også fat i nøglen.

Ifølge Cursors rapport om hændelsen begyndte problemerne hos Fireworks AI, en ekstern virksomhed, som Cursor brugte til modeltræning og inferens. En angriber fik fat i en adgangsnøgle, som Cursor havde udstedt til Fireworks, og som Fireworks ifølge Cursor havde eksponeret. Nøglen blev brugt til at kopiere en lagerbucket med skrivebeskyttet adgang, som de to virksomheder delte. Her lå spor fra kodeagenter, hovedsageligt fra 2025, fra sessioner, hvor brugerne ikke havde slået Privacy Mode til – indstillingen, der forhindrer Cursor i at bruge deres data til træning. Cursor siger, at spor fra færre end 0,05 % af brugerne blev eksponeret, og at API-loginoplysninger fra færre end 0,01 % af kunderne blev berørt.

De efterladte loginoplysninger gav adgang til flere af de software-as-a-service-værktøjer, Cursor bruger. Derfra nåede angriberen frem til arkiveret kildekode, som ikke var i produktion, kundesupportmails, brugstal og kontaktoplysninger, sammenfatninger af nogle AI-agentsamtaler samt loginoplysninger, som kunder tidligere havde delt med Cursors supportteam, skriver BleepingComputer. En af de stjålne loginoplysninger kunne bruges til at udgive indhold til cachen bag Cursors markedsplads for udvidelser.

Sådan blev den falske Claude Code-udvidelse lagt op. De manipulerede versioner, nummereret 2.1.312 og 2.1.313, lå tilgængelige i omkring 11 timer, og Cursor vurderer, at op til 5.000 personer, som anmodede om dem, kan have modtaget den skadelige udgave. Den kørte kode, der forsøgte at installere angriberens SSH-nøgle og bevare fjernadgang til udviklerens computer. Cursor understreger, at Anthropic ikke udgav kopien, at fejlen ikke lå i Anthropics produkt, og at Open VSX, den åbne markedsplads, hvorfra Cursor henter sine udvidelser, aldrig indeholdt skadeprogrammet.

Rapporten efterlader også ubesvarede spørgsmål. Cursor har ikke oplyst, hvor mange af de 5.000 computere der faktisk endte med en fungerende bagdør. Sikkerhedsforskere fandt kodefejl, som sandsynligvis forhindrede den i at virke på mange Windows- og macOS-computere, hvor SSH ikke allerede var slået til, skriver BleepingComputer. Det betyder, at computere med SSH aktiveret i forvejen var mest udsatte. Virksomheden har heller ikke forklaret, hvorfor loginoplysningerne ikke var blevet fjernet fra de data, den gav videre til en træningspartner. Det er den egentlige lære for alle AI-kodeværktøjer, der lærer af deres brugere. Privacy Mode beskyttede dem, der havde slået funktionen til, men standardindstillingen lod alle andres sessioner indgå i træningen.

Cursor er ikke det eneste mål. Sikkerhedsfirmaet Wiz talte mindst ni AI-platforme for udviklere, der i oktober oplyste om sikkerhedshændelser – en bølge, firmaet kalder Black October, hvor angribere gik på jagt efter gemte nøgler, der giver adgang til betalte AI-modeller. Fireworks oplyste selv om mere end ét sikkerhedsbrud, og Notion fortalte, at AI-chatudskrifter fra et lille antal arbejdsområder var blevet eksponeret via Fireworks. Stjålne adgangsoplysninger bliver videresolgt eller brugt til AI-forbrug, som faktureres offeret. Hos cloududbyderen Railway blev stjålne hemmeligheder ifølge BleepingComputer brugt til at løbe op i omkring 740.000 dollar i svigagtige AI-udgifter.

Cursor siger, at al inferenstrafik nu er flyttet væk fra Fireworks, at alle adgangsoplysninger i virksomhedens interne systemer er blevet udskiftet, at markedspladsen for udvidelser er genopbygget, og at produktionsinfrastrukturen er blevet sat op på ny. Brugere af Privacy Mode, Cursor-appen og de officielle opdateringer blev ikke berørt, og ingen signeringsnøgler til udgivelser blev eksponeret. Tjenesten fungerer ens over hele verden, så rådet gælder på alle markeder: Alle, der installerede eller opdaterede til Claude Code 2.1.312 eller 2.1.313 fra Cursors markedsplads den 29. oktober, bør følge virksomhedens trin til at afhjælpe problemet, og teamadministratorer bør kontrollere listen over nøgler, Cursor sendte dem på mail.

Den skadelige udvidelse blev tilgængelig den 29. oktober, Cursor offentliggjorde sin første sikkerhedsmeddelelse den 30. oktober, og den seneste aktivitet fra angriberen, som virksomheden registrerede, blev blokeret den 1. november. Den fulde rapport om hændelsen fulgte den 13. november, og virksomheden siger, at den vil kontakte berørte kunder direkte, hvis der dukker flere oplysninger op. For udviklere er den sikreste tommelfingerregel enklere end enhver programrettelse: En adgangskode, der er indsat i en AI-chat, bør betragtes som allerede nedskrevet et andet sted.

Tags: Anthropic, cybersikkerhed, Claude Code, databrud, AI-kodeværktøjer, Cursor