Una credencial expuesta en un proveedor externo abrió una ruta que terminó en el marketplace de extensiones de Cursor. La compañía confirmó que atacantes obtuvieron una clave de acceso que había emitido a Fireworks AI, accedieron a datos históricos de algunos agentes de programación y utilizaron credenciales robadas para colocar copias maliciosas de Claude Code en la caché de extensiones de su editor compatible con VS Code.
Las versiones alteradas estuvieron disponibles aproximadamente 11 horas el 29 de octubre de 2026. Cursor calcula que hasta 5,000 personas que solicitaron esas versiones específicas pudieron recibir el paquete manipulado. Su investigación también encontró accesos no autorizados a ciertos sistemas internos y datos de clientes, aunque la empresa sostiene que la mayoría de sus usuarios no fue afectada y que notificó directamente a las personas y equipos identificados.
La brecha comenzó con una clave vinculada a Fireworks AI
De acuerdo con el informe de Cursor, el atacante obtuvo una clave de acceso que la compañía había emitido a Fireworks AI, su proveedor de infraestructura para tareas de entrenamiento e inferencia de modelos. Cursor afirma que la clave quedó expuesta en Fireworks y que fue utilizada para copiar información de un depósito de almacenamiento de solo lectura que Cursor compartía con ese proveedor.
El depósito contenía una cantidad limitada de trazas históricas de agentes de programación, principalmente de 2025 y provenientes de sesiones que no tenían activado Privacy Mode. Cursor explicó que podía usar esos datos para entrenamiento de modelos. Algunas trazas contenían credenciales de API que no habían sido ocultadas; los atacantes las aprovecharon para alcanzar herramientas internas de Cursor y servicios de software como servicio.
La información consultada o copiada desde esos servicios incluyó repositorios archivados de código que no estaban en producción —algunos con datos de contacto empresariales—, información limitada de soporte y conversaciones por correo, métricas de uso, datos de contacto, resúmenes de ciertas conversaciones con agentes y algunas credenciales que clientes habían enviado previamente al equipo de soporte. Cursor calculó que las trazas de agentes de menos del 0.05% de sus usuarios quedaron expuestas y que las credenciales de API de menos del 0.01% de sus clientes fueron comprometidas.
Cómo se distribuyó la copia maliciosa de Claude Code
Con una credencial obtenida durante esa intrusión, los atacantes publicaron copias no autorizadas de la extensión Anthropic.claude-code directamente en la caché que entrega extensiones del marketplace de Cursor, integrado con Visual Studio Code. Cursor identificó las versiones 2.1.312 y 2.1.313. La extensión legítima de Anthropic no fue comprometida ni publicada por la empresa, y el catálogo de Open VSX tampoco alojó el malware, según Cursor.
Las copias alteradas ejecutaban código JavaScript que intentaba recopilar información del equipo, agregar una llave SSH controlada por el atacante, habilitar el servicio SSH y establecer un túnel remoto persistente. También intentaba mantener el acceso mediante mecanismos distintos en macOS y Windows. Cursor advirtió que la extensión podía dejar archivos y procesos independientes, por lo que quitarla del editor no necesariamente bastaba para limpiar un equipo que hubiera ejecutado el código.
La compañía estimó que un máximo de 5,000 usuarios que solicitaron las versiones afectadas durante la ventana de exposición pudieron recibir el paquete. No significa que todos esos equipos fueran infectados ni que todos los intentos del malware tuvieran éxito. Cursor señaló que algunos errores en el código malicioso podían impedir que ciertas acciones funcionaran en configuraciones habituales; aun así, clasificó el incidente como una distribución de software no autorizado y publicó pasos de respuesta para quienes instalaron o actualizaron esas versiones.
Qué sistemas quedaron fuera del incidente y qué hizo la compañía
Cursor afirmó que no fueron afectados los repositorios de código de clientes, su infraestructura de producción, la aplicación oficial ni sus actualizaciones. También indicó que el código y las instrucciones de las personas que tenían Privacy Mode activado no formaban parte de las trazas expuestas. La compañía dijo que la actividad se limitó a información histórica almacenada para análisis fuera de línea; las solicitudes de inferencia activas no quedaron expuestas. Estas distinciones se basan en la investigación que Cursor publicó y no eliminan la exposición de los datos concretos descritos en el informe.
Después de detectar la actividad, Cursor desactivó la clave relacionada con Fireworks, revocó y rotó credenciales expuestas, trasladó su tráfico de inferencia a otro proveedor y revisó sus sistemas. También apagó temporalmente algunos servicios como precaución, reconstruyó el marketplace, validó las demás extensiones, amplió restricciones de acceso a redes y añadió controles para detectar secretos en sus repositorios y otras fuentes internas. Cursor contrató especialistas externos en análisis forense y dijo que notificó a las personas afectadas.
La empresa situó la última actividad del atacante que observó el 1 de noviembre y aseguró que fue bloqueada. Para quienes instalaron o actualizaron Claude Code 2.1.312 o 2.1.313 desde el marketplace de Cursor durante el periodo afectado, Cursor publicó una guía de seguridad con indicadores de compromiso y medidas de remediación. El aviso advierte que desinstalar la extensión por sí solo puede no ser suficiente. La recomendación es seguir las instrucciones oficiales para revisar el equipo y atender cualquier persistencia identificada.
Un riesgo de cadena de suministro para herramientas de desarrollo
El incidente enlazó varios componentes que suelen operar juntos en el desarrollo moderno: un proveedor de modelos, trazas de agentes, credenciales de API y un catálogo de extensiones. La extensión funciona como una pieza adicional del entorno de programación; por eso, una copia falsa distribuida bajo el nombre de una herramienta conocida puede convertir la confianza en los marketplaces en una superficie de ataque. En este caso, la brecha en el proveedor y el acceso posterior a credenciales desembocaron en una copia distribuida por la infraestructura de Cursor, no en una vulnerabilidad del producto oficial de Anthropic.
Cursor mantiene que el incidente está contenido y continúa reforzando sus controles. La compañía reconoció que debe mejorar la protección de los datos y credenciales que maneja, y dijo que actualizará su informe si encuentra información nueva. Por ahora, la exposición se concentra en las trazas y credenciales identificadas, los servicios internos señalados y las dos versiones específicas de la extensión que circularon durante unas horas.
Para más noticias de tecnología, cultura geek, gadgets y entretenimiento, visita: GeekAndLife.com.mx
Descubre más contenido en nuestras redes: Instagram | YouTube | TikTok
Fuente: BleepingComputer | Cursor