Cursor查清插件投毒源头 服务商密钥泄露

AI 代码编辑器 Cursor 上月底爆出的扩展商店投毒事件有了正式结论。11 月 14 日，Cursor 发布两周调查的结果报告：整条攻击链的起点，是它发给 AI 服务商 Fireworks AI 的一个访问密钥在对方一侧泄露了。

还原出来的路径是这样的：攻击者先利用泄露的密钥，复制了 Cursor 与 Fireworks 共享的只读存储桶里的数据——那是一些历史编码智能体运行记录，大多生成于 2025 年，来自未开启隐私模式的会话（这类数据本可用于模型训练）。问题在于，少量记录里残留着没有脱敏的 API 凭证。攻击者拿着这些凭证，又攻入了 Cursor 使用的部分内部软件服务，拿走了归档的非生产源码仓库、部分客服数据与往来邮件、产品使用指标、一些编码智能体对话摘要，以及用户曾提交给客服团队的凭证。

影响范围比想象中克制：编码智能体运行记录外泄的用户不足万分之五，API 凭证暴露的客户不足万分之一。官方同时确认，隐私模式用户的提示词与代码、正在进行的实时流量、生产系统、客户代码仓库、发布签名密钥均未被波及。

真正的爆点发生在 10 月 29 日。攻击者用窃得的凭证，把植入后门的 Claude Code 扩展（2.1.312 和 2.1.313 版本）直接塞进了 Cursor 扩展商店的缓存，向 Windows 和 macOS 用户分发，存活约 11 小时，最多 5000 名请求这些版本的用户可能中招。恶意代码会收集主机信息、添加攻击者控制的 SSH 密钥并建立反向隧道；所幸其代码存在缺陷，在多数没有开启 SSH 服务、也没有管理员权限的机器上根本跑不通。Cursor 强调，这些恶意版本并非 Anthropic 发布，官方渠道和上游市场 Open VSX 都没有染毒。

处置动作也交代得很彻底：撤销 Fireworks 的密钥并把全部推理流量迁离该公司，轮换所有暴露凭证，重建扩展市场，重新部署生产基础设施。10 月 30 日起官方陆续通知受影响用户并发布修复脚本，最后一次观察到攻击者活动是 11 月 1 日，已被拦截，事件目前判定为已遏制。

更大的背景是：Fireworks AI 在 10 月自曝遭遇多起入侵，殃及的下游客户里，Notion 的 AI 聊天记录、Uber 的司机驾照记录都曾被波及，安全公司 Wiz 把 10 月针对 AI 开发平台的连环攻击称作"黑色十月"。这起事件最值得记住的教训是——AI 平台把智能体运行轨迹、用户凭证和供应商密钥存放得如此之近，而一条"只读"的共享通道，就足以撬动整条供应链。