Cursorへのハッキングの真相が明らかに：Fireworksが鍵を漏洩、ハッカーがAIトレーニング記録からプラグインストアまで侵入

動察 Beating AI 速報、Cursor は先に発生した Claude Code プラグインが毒入れされた事件の調査結果を公表した。2週間の調査を経て、同社は攻撃の源がまさかのAIサービスプロバイダーである Fireworks であったことを発見した。

Cursor の説明によると、Fireworks は Cursor が付与したアクセスキーを漏洩した。ハッカーはこのキーを利用して、Cursor が共有ストレージに保存していた過去の Coding Agent 実行記録を複製した。これらのデータは主に2025年にプライバシーモードを有効にしていなかったユーザーのセッションに由来し、本来はモデルトレーニングに使用されていた。

さらに深刻なのは、一部の記録に含まれる API キーがマスキング処理されていなかったことだ。ハッカーはこれらの認証情報を利用して、Cursor が使用する一部の内部ソフトウェアサービスにさらに侵入し、アーカイブ済みの非本番コード、カスタマーサポートのメール、製品使用データ、一部の AI 対話要約、およびユーザーが過去にカスタマーサポートへ提出した認証情報を取得した。

10月29日、ハッカーはさらに Cursor 内部から窃取した認証情報を利用して、拡張機能ストアのキャッシュを直接改ざんし、SSH バックドアを仕込んだ Claude Code 2.1.312 および 2.1.313 バージョンをユーザーに提供した。悪意のあるバージョンは約11時間存在し、最大5000名のユーザーがダウンロードした可能性がある。上流のプラグインマーケットプレイスである Open VSX は改ざんされておらず、Anthropic 公式バージョンも影響を受けていない。

Cursor は、今回漏洩した Coding Agent 実行記録は0.05%未満のユーザーに関係し、そのうち0.01%未満のユーザーが API 認証情報を露出したと明らかにした。プライバシーモードを有効にしたセッション、顧客のコードリポジトリ、および本番システムは今回の攻撃の影響を受けていない。

Cursor によると、ハッカーの活動が最後に確認されたのは11月1日で、その時点で阻止に成功した。現在、同社は影響を受けたユーザーに通知し、Fireworks を推論リクエストの処理に使用することを全面的に停止し、そのデータアクセス権限を取り消すとともに、内部認証情報をローテーションし、本番インフラを再デプロイした。