Cursor披露安全事件溯源结果，FireworksAI密钥泄露致ClaudeCode扩展被植后门，波及至多5000用户

AI编程工具Cursor于2026年11月13日正式披露10月底安全事件的完整调查结果：攻击者利用AI推理服务商Fireworks AI泄露的一枚访问密钥，非法读取Cursor共享存储桶中的历史编程智能体（coding agent）运行记录，并借此植入恶意版Anthropic Claude Code扩展至其VS Code扩展市场，事件持续约11小时，最多波及5000名用户。

该恶意扩展版本号为Anthropic.claude-code 2.1.312与2.1.313，未经Anthropic或Open VSX授权，仅在Cursor自有扩展市场短暂上架。Cursor在10月30日发现异常后立即下架该扩展、临时关闭扩展市场，并协同云服务商关停攻击者服务器。11月1日拦截最后一次攻击行为后，确认事件已完全受控。

根据调查，攻击链路分为三个阶段：首先，Fireworks AI某环境密钥意外暴露；其次，攻击者利用该密钥访问Cursor的S3共享存储桶，从中提取部分未完全脱敏的用户数据——包括少量API凭证（受影响客户占比低于0.01%）、非生产代码仓库及客户支持信息；最后，攻击者使用窃得的内部凭证将篡改后的Claude Code扩展注入Cursor平台。

值得注意的是，此次泄露主要涉及“编程智能体链路追踪数据”，即Agent执行过程中的中间状态日志，而非用户原始提示词或源代码本身。Cursor明确指出：若用户启用隐私模式（Privacy Mode），其提示词与代码全程本地处理，不受影响；未启用该模式的用户中，其链路追踪数据遭泄露的比例不足0.05%。所有受影响用户均已由Cursor团队逐一直接联系并提供处置指引，未收到通知者可确认其数据未落入泄露范围。

事件暴露出AI开发工具链中一个关键风险点：第三方服务密钥管理失当可能引发连锁反应。Fireworks作为为Cursor提供推理服务的供应商，其密钥一旦泄露，即可成为穿透多层隔离的“跳板”。这并非孤立案例。同期，安全公司Apiiro于11月7日发布报告指出，Claude Code的“Don't Ask Again”权限选项曾导致2539个密钥泄露至1994个公开GitHub仓库；另有分析显示，该工具会通过User-Agent头将用户邮箱地址发送至每次网页搜索的目标站点。高盛等机构已内部限制工程师使用Claude Code与GitHub Copilot类工具，量化公司Cubist更就此提起诉讼，指控前员工利用AI编程工具窃取交易源码。

这些事件共同指向一个趋势：AI编码工具正从“能力竞赛”转向“治理竞赛”。早期工具强调自动化效率，如Anthropic在S-1文件中披露，截至2026年9月底，其代码库90%以上由Claude Code生成；但伴随权限模型日益宽松（如会话级宽泛授权替代细粒度审批），单次授权的“爆炸半径”显著扩大。“Don't Ask Again”看似提升体验，实则将一次性信任决策转化为持续性权限契约，而多数用户并未意识到其隐含风险。

Cursor在公告中表示，将从三方面加强防护：一是重构数据存储与共享机制，确保敏感信息默认脱敏；二是优化凭证签发流程，推行最小权限原则与短期有效令牌；三是升级系统运营监控体系，实现对异常访问的分钟级响应。公司强调，本次事件未影响核心产品功能，所有服务已于11月初全面恢复。

与此同时，行业层面亦有响应。11月11日，MCP（Model Communication Protocol）规范维护团队宣布固定半年发布周期，下一版定于2027年3月30日推出，旨在推动Agent交互协议的标准化与可审计性。此举被视为对当前“黑盒式Agent执行”模式的系统性修正。

需要提醒开发者的是，仅卸载恶意扩展无法彻底清除风险。Cursor建议曾安装2.1.312或2.1.313版本的用户按官方指引轮换相关API密钥，并检查本地工作区是否存在被Agent写入的敏感文件。对于企业用户，应重新评估AI编程工具的权限策略，避免将高权限凭证长期授予自动化Agent。

尽管此次事件影响范围有限（5000用户占总用户基数极小），但它揭示了一个结构性隐患：当AI Agent获得“写入”“调用外部服务”“访问历史上下文”等能力时，其执行路径的透明性与可控性必须同步提升。否则，每一次便捷性优化都可能埋下新的安全地雷。

目前，Anthropic自身也面临挑战。11月13日，其多项服务（claude.ai、Claude Code、platform.claude.com、Claude Cowork）出现认证故障，错误率上升，官方称正在调查中。虽尚无证据表明该故障与Cursor事件直接相关，但二者时间重叠，加剧了业界对AI基础设施整体韧性的关注。

安全从来不是功能的附属品，而是产品设计的起点。在AI编码工具快速普及的当下，如何平衡自动化效率与数据主权，将成为决定其能否进入企业核心开发流程的关键门槛。