Cursor conferma il breach: da Fireworks AI alle estensioni Claude Code con backdoor SSH

Executive Summary

• Cursor conferma una compromissione partita da Fireworks AI. Una chiave esposta presso il fornitore ha consentito l’accesso a dati storici degli agenti AI, alcuni contenenti credenziali API non oscurate.
• Fino a 5.000 sviluppatori potenzialmente esposti. Il 29 ottobre gli attaccanti hanno distribuito versioni manomesse dell’estensione Claude Code 2.1.312 e 2.1.313 attraverso il marketplace di Cursor per circa 11 ore.
• Il malware tentava di installare backdoor SSH persistenti. Cursor ha revocato le credenziali, ricostruito il marketplace e isolato i sistemi coinvolti. Anthropic e Open VSX non risultano compromessi.

Cursor ha confermato una violazione di sicurezza che ha consentito a un attaccante di distribuire estensioni Claude Code malevole attraverso il proprio marketplace, esponendo potenzialmente fino a 5.000 sviluppatori a un malware progettato per installare backdoor SSH persistenti. L’incidente, avvenuto il 29 ottobre 2026, è stato ricostruito dall’azienda nel rapporto ufficiale pubblicato il 13 novembre, che individua l’origine della compromissione in una chiave di accesso esposta presso Fireworks AI, fornitore esterno utilizzato per addestramento e inferenza dei modelli. La chiave ha permesso di raggiungere un archivio contenente tracce storiche degli agenti di programmazione, alcune delle quali includevano credenziali non oscurate. Da queste informazioni gli aggressori hanno ottenuto ulteriori accessi fino a raggiungere il sistema di distribuzione delle estensioni. Il caso dimostra come una credenziale compromessa presso un fornitore AI possa propagare il rischio attraverso infrastrutture SaaS, archivi di conversazioni e marketplace software, senza richiedere una vulnerabilità nell’assistente AI utilizzato dagli sviluppatori.

Fireworks AI espone una chiave e gli attaccanti raggiungono i dati storici di Cursor

La ricostruzione di Cursor individua il primo passaggio nell’esposizione di una chiave di accesso assegnata a Fireworks AI. Gli aggressori l’hanno utilizzata per copiare informazioni conservate in un bucket di archiviazione condiviso tra le due società. La risorsa era configurata in sola lettura, ma questo non impediva l’estrazione dei contenuti accessibili. L’archivio conservava prevalentemente tracce di sessioni degli agenti AI risalenti al 2025, raccolte da utenti che non avevano attivato Privacy Mode e utilizzabili per l’addestramento dei modelli. Una parte limitata delle registrazioni conteneva credenziali API non adeguatamente oscurate, trasformando dati storici destinati all’analisi in uno strumento per ottenere nuovi accessi. Secondo Cursor, le tracce esposte riguardavano meno dello 0,05% degli utenti, mentre le credenziali API coinvolgevano meno dello 0,01% dei clienti. Le percentuali non equivalgono a una stima dei computer infettati: descrivono esclusivamente l’esposizione dei dati individuata nell’indagine. Utilizzando le credenziali recuperate, gli attaccanti hanno raggiunto alcuni servizi SaaS interni, acquisendo repository archiviati e non produttivi, informazioni di assistenza clienti, conversazioni email, metriche di utilizzo e riepiloghi di sessioni degli agenti. Sono risultate accessibili anche credenziali che alcuni clienti avevano precedentemente condiviso con il supporto tecnico. La criticità principale è stata la presenza di segreti operativi all’interno di dati che avrebbero dovuto essere sanitizzati prima della conservazione.

Una credenziale interna permette di distribuire Claude Code contraffatto

Il passaggio successivo ha riguardato il sistema di distribuzione delle estensioni. Attraverso una credenziale recuperata dai sistemi compromessi, gli aggressori sono riusciti a collocare copie non autorizzate dell’estensione Anthropic Claude Code nella cache utilizzata dal marketplace VS Code di Cursor. L’attacco ha interessato le versioni 2.1.312 e 2.1.313, disponibili per circa 11 ore il 29 ottobre. Il numero massimo di utenti che potrebbero aver ricevuto i pacchetti manomessi è stimato da Cursor in 5.000 persone: non si tratta di 5.000 installazioni malevole confermate né di altrettanti sistemi compromessi. La distinzione sul canale di distribuzione è fondamentale. Anthropic non ha pubblicato le versioni contraffatte e Open VSX, il marketplace utilizzato come sorgente da Cursor, non è stato compromesso. Gli attaccanti hanno sfruttato il livello di cache e distribuzione controllato dall’editor, manipolando ciò che alcuni utenti potevano ricevere. Il rischio è differente da quello documentato nelle campagne contro i namespace di Open VSX e gli ambienti Cursor e Windsurf, dove la minaccia derivava dall’occupazione di namespace e dalle raccomandazioni automatiche. In questo caso il problema nasce dalla compromissione delle credenziali della piattaforma incaricata di consegnare software apparentemente affidabile.

Leggi anche: GlassWorm utilizza un’estensione malevola per infettare diversi ambienti di sviluppo

La falsa estensione installava chiavi SSH e tentava l’accesso persistente

Le versioni manomesse contenevano codice JavaScript aggiuntivo progettato per raccogliere informazioni sul sistema e predisporre un accesso remoto. Il malware acquisiva hostname, nome utente, sistema operativo, architettura, percorso della directory personale, informazioni sull’ambiente di lavoro e indirizzo IP pubblico. Successivamente tentava di inserire una chiave SSH controllata dall’attaccante nel file authorized_keys, abilitare il servizio SSH locale e stabilire un tunnel inverso verso un’infrastruttura esterna. Il meccanismo prevedeva anche tentativi di persistenza attraverso LaunchAgent su macOS e attività pianificate o script di avvio su Windows. L’avviso tecnico pubblicato da Cursor il 29 ottobre precisa però che errori nel codice malevolo e l’assenza dei privilegi amministrativi necessari impedivano l’attivazione completa della backdoor su molti sistemi Windows e macOS. Questo non significa che l’estensione fosse innocua: potevano comunque verificarsi la raccolta di informazioni, l’aggiunta della chiave non autorizzata e la creazione di meccanismi di persistenza. Cursor ha inoltre fatto disattivare il server utilizzato dagli aggressori. Per i sistemi interessati, la sola disinstallazione dell’estensione potrebbe non essere sufficiente, perché gli script installati separatamente possono sopravvivere alla rimozione del componente originario.

Cursor delimita i dati coinvolti e ricostruisce il marketplace

La società sostiene che l’infrastruttura produttiva, le release ufficiali dell’applicazione e i repository di codice dei clienti non siano stati compromessi. Secondo gli accertamenti comunicati, anche prompt e codice degli utenti con Privacy Mode attivata sono rimasti fuori dall’incidente. Le informazioni sottratte appartenevano invece a una risorsa storica utilizzata per analisi offline, mentre il codice distribuito attraverso i normali aggiornamenti dell’editor proveniva da un’infrastruttura separata. Cursor afferma inoltre che non sono state esposte chiavi di firma delle release. Dopo il rilevamento dell’attività non autorizzata, l’azienda ha disattivato la chiave assegnata a Fireworks AI, revocato e ruotato le credenziali coinvolte, ricostruito il marketplace delle estensioni e ridistribuito precauzionalmente l’infrastruttura produttiva. Tutto il traffico di inferenza è stato spostato fuori da Fireworks. Cursor dichiara di aver bloccato l’ultima attività osservata dell’aggressore il 1° novembre e di considerare l’incidente contenuto, mantenendo attivo il monitoraggio. Gli utenti identificati come interessati sono stati contattati direttamente.

Il breach mostra il rischio delle credenziali conservate dagli agenti AI

L’aspetto più significativo non riguarda soltanto la distribuzione di una falsa estensione. L’intero attacco ha attraversato confini di fiducia differenti, partendo da una chiave di un fornitore esterno per arrivare a dati storici, credenziali API, servizi aziendali e infrastrutture di distribuzione software. È una dinamica che richiama le precedenti campagne Open VSX e npm contro la supply chain degli sviluppatori, ma introduce un problema specifico dell’ecosistema AI: i log degli agenti possono conservare informazioni sufficienti a compromettere sistemi anche molto tempo dopo la conclusione delle sessioni. Il valore di quelle registrazioni non dipende soltanto dal codice o dalle conversazioni contenute, ma dalla possibile presenza di token, chiavi e altre credenziali operative. La vicenda conferma anche perché la sicurezza degli agenti non possa essere separata dalla protezione delle estensioni e dei servizi collegati. Le ricerche su Plugin4Shell e sui controlli insufficienti dei componenti installati dagli assistenti di programmazione mostrano un’altra variante dello stesso problema: l’esecuzione di software attraverso canali considerati affidabili senza sufficienti verifiche sull’effettiva integrità dei componenti.

Continua con:

Evelyn Stealer trasforma le estensioni VS Code in strumenti di furto delle credenziali

BragJack e Shai-Hulud colpiscono la fiducia negli assistenti AI.

L’attacco a Cursor supera il confine tra incidente cloud e compromissione degli sviluppatori

La conferma ufficiale del 14 novembre 2026 descrive una compromissione nella quale un accesso iniziale a dati storici ha consentito di raggiungere una componente attiva della distribuzione software. Non sono emerse prove di compromissione generale dell’editor Cursor o dell’estensione ufficiale di Anthropic, ma la possibilità di consegnare pacchetti contraffatti attraverso un marketplace utilizzato dagli sviluppatori rappresenta un rischio concreto per le workstation e le infrastrutture aziendali collegate. Il dato decisivo non è soltanto il numero massimo di utenti potenzialmente esposti, ma il percorso seguito dagli aggressori. Un archivio di agenti AI, una credenziale non oscurata e una cache di distribuzione sono bastati a collegare l’incidente presso un fornitore esterno a un tentativo di installazione di backdoor sui computer degli sviluppatori. La vicenda evidenzia quanto la sicurezza delle piattaforme AI dipenda anche dalla gestione dei segreti e dei dati conservati fuori dagli ambienti produttivi.