Cursor ha rastreado su brecha de seguridad de octubre hasta una clave de acceso expuesta por Fireworks AI. El atacante utilizó esa clave para robar registros históricos del agente de codificación, encontrar más credenciales y, finalmente, colocar extensiones de Claude Code con puertas traseras en la caché del mercado de Cursor. Su actualización del 13 de noviembre conecta la exposición del proveedor con los paquetes maliciosos descubiertos el 29 de octubre.

La clave robada, que Cursor había emitido a Fireworks, proporcionaba acceso de solo lectura a un cubo de almacenamiento compartido. Este contenía rastros limitados del agente de codificación, principalmente de 2025, de sesiones fuera del Modo Privacidad que Cursor tenía permitido usar para el entrenamiento de modelos. Algunos registros contenían credenciales que no habían sido eliminadas.

Cursor afirmó que menos del 0,05% de los usuarios tuvieron expuestos sus rastros del agente de codificación, mientras que menos del 0,01% de los clientes tuvieron expuestas sus credenciales de API. Estas cifras describen diferentes partes del incidente y no deben tratarse como el número de usuarios que instalaron el malware.

Utilizando las credenciales encontradas en esos registros, el atacante accedió a servicios de software seleccionados utilizados por Cursor. La información expuesta incluía repositorios de código fuente archivados y que no eran de producción, registros y correos electrónicos de soporte limitados, métricas de uso, detalles de contacto, resúmenes de conversaciones y algunas credenciales que los clientes habían enviado al soporte técnico.

El 29 de octubre, una credencial robada de datos internos expuestos permitió al atacante colocar paquetes de Claude Code modificados directamente en la caché que sirve al mercado de extensiones de VS Code de Cursor. Cursor señaló que Anthropic no publicó los paquetes, que su producto no era vulnerable y que Open VSX nunca alojó el malware. Esto corrige informes anteriores que situaban el paquete en Open VSX.

La puerta trasera de Claude Code funcionó

Según la actualización del incidente de Cursor, como máximo 5.000 usuarios que solicitaron versiones específicas en caché pudieron recibir compilaciones maliciosas durante aproximadamente 11 horas. Los paquetes afectados fueron Anthropic.claude-code 2.1.312 y 2.1.313 para Windows y macOS. Se trata de un recuento de distribución potencial, no de una confirmación de 5.000 conexiones exitosas de la puerta trasera.

El análisis técnico inicial describió JavaScript inyectado que se ejecutaba cuando se cargaba la extensión, sin requerir una conversación con Claude. Recopilaba detalles del host, añadía una clave SSH etiquetada como svc-telemetry e intentaba un túnel SSH inverso hacia 134[.]209[.]82[.]225. La carga de datos inicial incluía los nombres de las variables de entorno, no sus valores.

Su seguimiento sobre la confirmación de Cursor detalló la persistencia mediante LaunchAgent en macOS y una tarea programada en Windows con un respaldo en la carpeta de Inicio. Los scripts reintentaban las conexiones aproximadamente cada 60 segundos. Cursor afirmó que errores de codificación y la falta de derechos de administrador bloquearon el inicio de sesión remoto en la mayoría de los hosts, pero que esto no evitó otros cambios maliciosos o la recopilación de datos del host.

Impacto más amplio de la brecha de Fireworks AI

El informe de la brecha de Fireworks AI cubrió una exposición más amplia que involucraba registros de cuentas y facturación, conjuntos de datos seleccionados y pesos de modelos incompletos. La actualización de seguridad de noviembre de Fireworks también describió el acceso a través de un proveedor de nube que alojaba máquinas de desarrollo. Estos hallazgos más amplios no establecen que cada cliente haya perdido los mismos datos.

Otros clientes informaron de impactos independientes. La revelación de Notion involucró transcripciones de chat de IA utilizadas por Insights en menos del 1% de los espacios de trabajo, sin que hubiera una brecha en los sistemas de Notion. La revelación de Uber se refería a información personal, incluyendo detalles de licencias de conducir, pertenecientes a miles de conductores en EE. UU. Ninguna de las dos revelaciones establece una implicación en el ataque de extensiones de Cursor.

Cursor desvió el tráfico de inferencia fuera de Fireworks, revocó el acceso del proveedor, rotó las credenciales internas, reconstruyó el mercado de extensiones y amplió el escaneo de secretos y las restricciones de red. También redespulgó la infraestructura de producción como precaución. La empresa cree que el incidente está contenido y afirmó que la última actividad observada del atacante, el 1 de noviembre, fue bloqueada. Los avisos del Modo Privacidad, los repositorios de código de los clientes y las actualizaciones oficiales de Cursor no se vieron afectados.

Si eres uno de los desarrolladores afectados, deberías seguir el aviso de limpieza de Cursor. Eliminar la extensión por sí sola puede dejar claves SSH y scripts de inicio. Cursor te aconseja verificar la evidencia en el endpoint, aislar las máquinas afectadas, eliminar la persistencia, rotar las credenciales accesibles desde un sistema confiable y evaluar si es necesario reinstalar el sistema.