Cursor為訓練AI保存的程式設計對話遭竊，內含密碼讓駭客上架假冒Claude Code擴充功能

以 Microsoft 開源的 Visual Studio Code 為基礎打造的 AI 程式碼編輯器 Cursor 表示，近期的資安事件起因於一個多數使用者從未想過的地方：公司為訓練 AI 模型而保留的舊程式設計對話。有些儲存下來的對話中，仍留有密碼和 API 金鑰。攻擊者利用這些資料逐步深入 Cursor 的系統，最後將植入後門的 Anthropic Claude Code 擴充功能版本，偷偷放進編輯器自家的擴充功能市集。

這條攻擊鏈對所有曾把機密貼進 AI 助理的人來說，才是最值得注意的部分。在聊天視窗輸入的金鑰，不會隨著對話結束而消失。如果工具儲存了對話，機密就會留在資料集中；任何人只要取得該資料集，也就能拿到金鑰。

根據 Cursor 的事件報告，問題始於 Fireworks AI。Cursor 曾使用這家外部公司進行模型訓練與推論。攻擊者取得了 Cursor 發給 Fireworks 的存取金鑰；Cursor 表示，Fireworks 未妥善保護這把金鑰。攻擊者接著利用金鑰，複製了兩家公司共用的一個唯讀儲存資料桶。裡面存有程式設計代理的運作紀錄，絕大多數來自 2025 年，記錄的是使用者未啟用「隱私模式」時的對話；這項設定可避免 Cursor 將使用者資料用於訓練。Cursor 表示，受到曝光的紀錄涉及不到 0.05% 的使用者，而 API 憑證曝光的客戶不到 0.01%。

這些未清除的憑證讓攻擊者得以進入 Cursor 使用的多項軟體即服務工具。接著，攻擊者取得了封存的非正式環境原始碼、客戶支援電子郵件、使用數據與聯絡資料、部分 AI 代理對話摘要，以及客戶先前曾提供給 Cursor 支援團隊的憑證，BleepingComputer 詳細報導了這些情況。其中一組遭竊憑證還能將內容發布到 Cursor 擴充功能市集背後的快取系統。

假冒的 Claude Code 就是這樣出現的。遭竄改的版本編號為 2.1.312 和 2.1.313，在市集上架約 11 小時。Cursor 估計，最多可能有 5,000 名提出下載要求的使用者收到惡意版本。該版本會執行程式碼，試圖植入攻擊者的 SSH 金鑰，並持續保有對開發者電腦的遠端存取權。Cursor 強調，這個版本並非 Anthropic 發布，問題也不在 Anthropic 的產品；Cursor 取得擴充功能的開放市集 Open VSX，則從未上架過這款惡意軟體。

這份報告也留下了一些疑問。Cursor 尚未說明這 5,000 台電腦中，究竟有多少台真的留下了可運作的後門。根據 BleepingComputer 報導，資安研究人員發現的程式碼錯誤，很可能讓攻擊在許多尚未啟用 SSH 的 Windows 和 macOS 電腦上無法成功；因此，原本就已開啟 SSH 的電腦風險最高。公司也沒有解釋，為何交給訓練合作夥伴的資料中，憑證沒有經過遮蔽處理。這才是所有會利用使用者資料學習的 AI 程式設計工具都該記取的教訓。啟用隱私模式的人受到保護，但預設設定卻讓其他人的對話仍可用於訓練。

Cursor 並非唯一的攻擊目標。資安公司 Wiz 統計，至少有九個 AI 開發者平台在 10 月披露資安事件；這波攻擊被稱為「黑色十月」，攻擊者四處搜尋可解鎖付費 AI 模型的儲存金鑰。Fireworks 本身也披露了不只一起資安事件，Notion 則表示，少數工作區的 AI 聊天紀錄透過 Fireworks 遭到曝光。竊得的存取權限會被轉售，或被拿來消耗 AI 用量，帳單則算在受害者頭上。BleepingComputer 報導，雲端主機 Railway 就曾遭人利用竊得的機密資料，累積約 74 萬美元的詐欺性 AI 費用。

Cursor 表示，已將所有推論流量移出 Fireworks、輪替內部系統的所有憑證、重建擴充功能市集，並重新部署正式環境基礎架構。使用隱私模式的用戶、Cursor 應用程式及其官方更新均未受影響，也沒有任何發布簽署金鑰曝光。這項服務在全球各地的運作方式相同，因此所有市場的使用者都適用同一項建議：任何人在 10 月 29 日從 Cursor 市集安裝或更新至 Claude Code 2.1.312 或 2.1.313，都應依照公司的補救步驟處理；團隊管理員則應檢查 Cursor 透過電子郵件寄給他們的金鑰清單。

惡意擴充功能於 10 月 29 日上架，Cursor 在 10 月 30 日發布第一份安全公告，而公司偵測到的最後一次攻擊者活動，已於 11 月 1 日遭到阻擋。完整事件報告則在 11 月 13 日公布；公司表示，若發現其他受影響情況，會直接聯絡相關客戶。對開發者來說，最安全的假設比任何修補措施都簡單：貼進 AI 聊天的密碼，應視同早已被記錄在別處。

標籤: Anthropic, 資訊安全, 資料外洩, Claude Code, AI程式設計工具, Cursor