11 月 13 日，Cursor 公布了对 10 月 29 日安全事件的调查结论。公司写道，攻击者先拿到它签发给推理和训练平台 Fireworks 的一把访问密钥，而这把密钥“由 Fireworks 暴露”。攻击者用这把密钥，从双方共享的只读存储桶里复制了编码智能体的追踪记录，再借助记录里未脱敏的凭证进入 Cursor 使用的部分 SaaS 工具，最后把一份伪造的 Anthropic Claude Code 扩展写进了扩展市场所用的缓存。
Fireworks 11 月 9 日更新过自己的安全公告，确认部分客户的秘钥、账户和账单信息，以及有限账户中的数据集和未完成模型权重曾被访问，但没有单独确认暴露了 Cursor 签发的这把密钥。两边目前对得上的，是供应商事故与客户侧后果，还不是对同一把密钥的共同说明。
训练用的追踪记录成了入口
Cursor 说，那个只读存储桶里存放的是有限的编码智能体追踪记录，多数来自 2025 年，而且只包含未开启 Privacy Mode、公司认为可以用于模型训练的会话。其中少数记录含有未被脱敏的凭证。公司给出的口径是：少于 0.01% 的客户有 API 凭证被暴露；未开启 Privacy Mode 的用户里，少于 0.05% 的人有追踪记录被取走。公司称已识别这些人并逐一通知，没收到通知就意味着自己的数据不在这些记录里。
从这些凭证出发，攻击者进入了 Cursor 使用的部分 SaaS 工具。公司列举的访问范围包括：部分已归档、非生产环境的源代码仓库（有的含商务联系信息），有限的客户支持数据和邮件往来，产品使用指标和联系方式，部分编码智能体会话摘要，以及用户发给 Cursor 支持团队的一些凭证。
Cursor 写道，监控系统发现了未授权活动后，它停用了发给该供应商的密钥，开始撤销和轮换凭证，并追查其他未授权访问。出于谨慎，公司一度关闭了超出当时证据范围的内部和产品服务，部分功能因此中断，随后在确认安全后恢复。
伪造扩展进的是市场缓存，不是 Anthropic 或 Open VSX
10 月 29 日，攻击者用从 Cursor 内部系统暴露数据里偷到的凭证，把未经授权的 Anthropic Claude Code 扩展副本直接放到了 Cursor VS Code 扩展市场所用的缓存上。被篡改的版本是 2.1.312 和 2.1.313。Cursor 写明，这不是 Anthropic 产品的漏洞，Anthropic 也没有发布这个副本；上游市场 Open VSX 里从来没有这份恶意软件。
公司估计，当天最多约 5000 名请求了特定缓存版本的用户，可能拿到被篡改的安装包。它在线约 11 小时后被下架。10 月 29 日的安全公告把窗口写得更具体：当天太平洋时间凌晨 2:27 至下午 1:35。Cursor 随后关闭市场、完成审计并重建，并与托管攻击者服务器的云厂商一起把服务器切断。
需要把“可能下载到恶意包”和“远程登录已经打通”分开看。Cursor 在 10 月 29 日的公告里写过，恶意代码会收集主机信息、尝试把攻击者的 SSH 公钥写入 authorized_keys、尝试启用本机 SSH 服务并建立反向隧道，再通过 LaunchAgent 或计划任务做持久化。它同时写明：除了 Cursor 以管理员权限启动这类少见情况，恶意代码里的错误会使启用 SSH 服务这一步失败；在多数 macOS 和 Windows 主机上，攻击者无法通过这条隧道登入。即便如此，扩展仍可能写入 SSH 钥、装上持久化组件，并把主机信息发送出去。只卸载扩展可能不够。
微软威胁情报团队 10 月 30 日公布了对注入脚本的分析，结论与这份公告相符：载荷会尝试写入密钥、配置反向 SSH 并做持久化，但每一步是否成功取决于主机权限、SSH 配置和对方服务器；Visual Studio Marketplace 和 npm 上的官方 @anthropic-ai/claude-code 包未受影响。微软还写，Anthropic 向其确认自身系统未被攻破，也没有开发这个恶意包。
公司认为事件已经收住，推理流量已撤出 Fireworks
Cursor 称，最后一次观察到的攻击活动发生在 11 月 1 日，并且已被阻断。公司列出的未受影响范围包括：开启 Privacy Mode 的用户的提示词和代码；当前发往 Cursor 的实时流量；运行 Cursor 的生产系统；官方应用程序和更新，以及客户端与云服务的发版代码；发版所用的代码托管系统和签名密钥；Cloud Agents、Grok Bot 及其他 SpaceX SI 产品；市场中的其他扩展和插件；客户的代码仓库。
在应对上，Cursor 说已把全部推理流量撤出 Fireworks，停用签发给它的密钥，并切断其对共享数据集的访问；已轮换发现的暴露凭证，并预防性地轮换了内部系统中所有正在使用的凭证；重建了扩展市场；收紧了服务商的网络访问限制；在代码仓库和其他内部数据源中扩大了密钥扫描；预防性地重新部署了生产基础设施，并聘请了外部取证人员。如果凭证被暴露，公司会向团队管理员发送需要轮换的具体密钥清单，并要求签发这些凭证的第三方服务撤销它们。
Fireworks 的公告还对不上这把密钥
Fireworks 在 11 月 9 日的更新中说，10 月 6 日发现的未授权访问，后来被确认还触及账户和账单信息；在有限账户里，秘钥、数据集和尚未完成的模型权重也被访问。更新还写了另一条路径：托管其研发机器的未具名云厂商在 10 月 23 日发生安全事件，10 月 24 日有人借此进入开发机器并运行未授权工作负载。公司称已通知受影响客户，调查仍在进行。那份公告没有点名 Cursor，也没有写到这把由客户签发、用于共享训练记录的访问密钥。
因此，目前可以确定的是 Cursor 自己的调查结论、它给出的影响口径，以及微软对恶意扩展能力的独立分析。还不能把“Fireworks 暴露了这把密钥”写成双方已经共同确认的事实，也不能把最多约 5000 名可能拿到缓存版本的用户，写成都已经装上了可用的 SSH 后门。对仍在使用 Cursor 扩展市场的人来说，若在上述时间窗里安装或更新过 2.1.312 或 2.1.313，应按公司安全公告检查 svc-telemetry 密钥并做清除，而不是只把扩展卸掉。
