Cursor раскрыла 13 ноября цепочку, приведшую к подмене расширения Claude Code: ключ, выданный Fireworks, открыл атакующему хранилище старых записей работы ИИ-агентов. Оставшиеся в них секреты позволили проникнуть дальше. В прежнем раскрытии происхождение подмены ещё оставалось неизвестным.

По расследованию Cursor, ключ был раскрыт на стороне Fireworks и давал только чтение. Атакующий скопировал записи преимущественно за 2025 год — из сессий без Privacy Mode, разрешённых для обучения моделей. Часть записей содержала неудалённые учётные данные. С ними злоумышленник получил доступ к отдельным облачным сервисам Cursor, архивным репозиториям и данным поддержки, включая присланные пользователями секреты.

Найденные во внутренней системе учётные данные позволили 29 октября разместить вредоносные сборки Claude Code непосредственно в кеше каталога расширений Cursor. По данным компании, исходный каталог Open VSX заражён не был. Подмену потенциально получили до 5 тысяч пользователей; это не число доказанных захватов компьютеров.

Cursor оценивает долю клиентов с раскрытыми API-ключами менее чем в 0,01%. Компания заявляет, что данные Privacy Mode, текущие запросы и официальные обновления приложения не затронуты. Она отозвала ключ Fireworks, прекратила передачу ему запросов и сменила обнаруженные скомпрометированные ключи. Последнюю замеченную активность атакующего 1 ноября удалось заблокировать; дальнейшее наблюдение продолжается.