Cursor公布安全事件调查：Fireworks密钥泄露致数据暴露

Cursor 公布安全事件调查：起点是合作方 Fireworks 泄露的访问密钥；被篡改的 Claude Code 插件最多 5,000 人可能装到

Cursor公布了 10 月 29 日那次安全事件的调查结果，官方说绝大多数用户没有受影响，受影响的人已经一个个单独通知；最后一次攻击活动是 11 月 1 日，已经被拦下，事件已经控制住。如果你没收到 Cursor 的通知，说明你的数据不在泄露范围里。

【事情是怎么发生的】 起点不在 Cursor 自己，而在合作方 Fireworks。Cursor 给 Fireworks 发过一把访问密钥，这把密钥被 Fireworks 泄露，攻击者用它从一个只读存储桶里复制了数据。 桶里是一部分编程 Agent 的使用轨迹，大多是 2025 年的，来自没开隐私模式（Privacy Mode）的会话，这些数据 Cursor 本来被允许用来训练模型。问题是，少量轨迹里有没打码的密钥，不到 0.01% 的用户的 API 密钥因此暴露。

攻击者拿着这些密钥，进了 Cursor 用的一些 SaaS 工具，看到了归档的非生产代码仓库、部分客服邮件、产品使用数据和联系方式，还有一些用户发给客服的密钥。

【被篡改的 Claude Code 插件】 10 月 29 日，攻击者用偷来的凭证，把篡改过的 Anthropic Claude Code 插件放进了 Cursor 插件市场的缓存里。这不是 Anthropic 发布的，也不是 Anthropic 产品的漏洞；插件的源头 Open VSX 上一直是干净的。

这个恶意版本挂了大约 11 小时，当天请求这两个缓存版本的用户最多 5,000 人可能装到。版本号是 Anthropic.claude-code 2.1.312 和 2.1.313。 如果你在那段时间装过或更新过这两个版本，要按 Cursor 10 月 30 日发布的安全公告里的步骤处理。官方特别提醒：只卸载插件可能不够。

【哪些没受影响】 开了隐私模式的用户，提示词和代码都不在里面。没开隐私模式的，轨迹暴露的不到 0.05%，这些人都已单独通知。

你现在发给 Cursor 的数据和请求、运行 Cursor 的生产系统、Cursor 客户端和官方更新都没受影响。Cursor 说发版用的是另一套代码托管系统，攻击者没进去过，签名密钥也没泄露。插件市场里其他插件都核验过是真的，客户自己的代码仓库也不在范围内。

【Cursor 做了什么】 所有推理流量从 Fireworks 撤走，停掉了给它的密钥，切断它对所有共享数据的访问。 发现暴露的密钥全部轮换，按风险从高到低；没证据暴露的内部密钥也全换了一遍。插件市场重新审查、重建；所有代码仓库加了密钥扫描；生产环境全部重新部署；请了外部取证团队。

【对普通用户的实际建议】 一是去看邮箱和 Cursor 应用内通知，没收到就是不在范围里。二是确认自己没装过 2.1.312 和 2.1.313 这两个版本。三是以后别把密钥贴给客服或贴进对话。这次泄露的源头之一，就是轨迹和客服记录里留着的明文密钥。

官方最后说，如果有新的影响，会直接联系用户，并更新这篇博客。 来源： Cursor 官方推文：http://x.com/cursor_ai/status Cursor 博客《An update on our recent security incident》：http://cursor.com/blog/security-incident-update