Cursor conservava chat di codice per addestrare l’IA, e gli hacker ci hanno trovato password

Cursor, l’editor di codice con IA basato su Visual Studio Code, il progetto open source di Microsoft, ha dichiarato che la recente violazione è partita da un luogo a cui la maggior parte degli utenti non pensa mai: le vecchie sessioni di programmazione conservate dall’azienda per addestrare i modelli di IA. Alcune di quelle conversazioni salvate contenevano ancora password e chiavi API. L’aggressore le ha usate per addentrarsi nei sistemi di Cursor, fino a riuscire a inserire nel marketplace di estensioni dell’editor una copia compromessa dell’estensione Claude Code di Anthropic.

È questa la parte della vicenda che dovrebbe interessare chiunque incolli un segreto in un assistente IA. Una chiave digitata in una finestra di chat non scompare quando la sessione termina. Se lo strumento conserva la conversazione, il segreto resta in un dataset e chiunque riesca ad accedere a quel dataset ottiene anche la chiave.

Secondo il rapporto sull’incidente pubblicato da Cursor, tutto è cominciato presso Fireworks AI, un’azienda esterna che Cursor utilizzava per l’addestramento e l’inferenza dei modelli. Un aggressore ha ottenuto una chiave di accesso che Cursor aveva fornito a Fireworks e che, secondo Cursor, Fireworks aveva esposto. L’ha poi usata per copiare un bucket di archiviazione in sola lettura condiviso dalle due aziende. Al suo interno c’erano tracce di agenti di programmazione, per lo più risalenti al 2025, provenienti da sessioni in cui gli utenti non avevano attivato Privacy Mode, l’impostazione che impedisce a Cursor di usare i dati per l’addestramento. Cursor afferma che sono state esposte le tracce di meno dello 0,05% degli utenti e che le credenziali API di meno dello 0,01% dei clienti sono state compromesse.

Quelle credenziali rimaste in circolazione hanno aperto l’accesso a diversi strumenti software-as-a-service utilizzati da Cursor. Da lì, l’aggressore ha raggiunto codice sorgente archiviato e non destinato alla produzione, email dell’assistenza clienti, metriche di utilizzo e dati di contatto, riepiloghi di alcune conversazioni con agenti IA e credenziali che i clienti avevano condiviso in passato con il team di supporto di Cursor, come ha ricostruito BleepingComputer. Una delle credenziali sottratte consentiva di pubblicare contenuti nella cache alla base del marketplace di estensioni di Cursor.

È così che è arrivata la falsa estensione Claude Code. Le versioni manomesse, con i numeri 2.1.312 e 2.1.313, sono rimaste disponibili per circa 11 ore e Cursor stima che fino a 5.000 persone che le avevano richieste possano aver ricevuto la versione malevola. Questa eseguiva codice che tentava di installare la chiave SSH dell’aggressore e di mantenere l’accesso remoto al computer dello sviluppatore. Cursor sottolinea che la copia non è stata pubblicata da Anthropic, che il problema non riguardava il prodotto di Anthropic e che il malware non è mai comparso su Open VSX, il marketplace aperto da cui Cursor attinge le sue estensioni.

Il rapporto lascia anche alcune domande senza risposta. Cursor non ha precisato quanti di quei 5.000 computer siano effettivamente finiti con una backdoor funzionante. Secondo BleepingComputer, i ricercatori di sicurezza hanno individuato errori di programmazione che probabilmente ne hanno impedito l’esecuzione su molti computer Windows e macOS in cui SSH non era già attivato: i sistemi più esposti sono quindi quelli che lo avevano già abilitato. L’azienda non ha nemmeno spiegato perché le credenziali siano rimaste in chiaro nei dati forniti a un partner per l’addestramento. È questa la lezione più importante per ogni strumento di programmazione con IA che apprende dai propri utenti. Privacy Mode ha protetto chi l’aveva attivata, ma le impostazioni predefinite lasciavano disponibili per l’addestramento le sessioni di tutti gli altri.

Cursor non è l’unico bersaglio. La società di sicurezza Wiz ha contato almeno nove piattaforme di sviluppo IA che hanno reso note violazioni nel mese di ottobre, in un’ondata che ha chiamato Black October, con aggressori a caccia di chiavi salvate che permettono di sbloccare modelli IA a pagamento. Anche Fireworks ha segnalato più di una violazione, mentre Notion ha dichiarato che le trascrizioni di chat con IA di un numero ridotto di aree di lavoro sono state esposte attraverso Fireworks. Gli accessi rubati vengono rivenduti o usati per consumare servizi di IA, con i costi addebitati alla vittima. Nel caso del provider cloud Railway, ha riferito BleepingComputer, i segreti sottratti sono stati usati per accumulare circa 740.000 dollari di spese fraudolente per l’IA.

Cursor afferma di aver trasferito tutto il traffico di inferenza fuori da Fireworks, ruotato tutte le credenziali dei propri sistemi interni, ricostruito il marketplace di estensioni e ridistribuito la propria infrastruttura di produzione. Gli utenti di Privacy Mode, l’app Cursor e i suoi aggiornamenti ufficiali non sono stati interessati e nessuna chiave di firma delle release è stata esposta. Il servizio funziona allo stesso modo in tutto il mondo, quindi le indicazioni valgono per ogni mercato: chi ha installato o aggiornato Claude Code alla versione 2.1.312 o 2.1.313 dal marketplace di Cursor il 29 ottobre dovrebbe seguire le procedure di ripristino indicate dall’azienda; gli amministratori dei team dovrebbero inoltre controllare l’elenco delle chiavi inviato loro da Cursor via email.

L’estensione malevola è stata pubblicata il 29 ottobre, Cursor ha diffuso il primo avviso di sicurezza il 30 ottobre e l’ultima attività dell’aggressore individuata dall’azienda è stata bloccata il 1° novembre. Il rapporto completo sull’incidente è arrivato il 13 novembre e l’azienda afferma che contatterà direttamente i clienti coinvolti se dovessero emergere altri elementi. Per gli sviluppatori, la precauzione più sicura è più semplice di qualsiasi patch: una password incollata in una chat con un’IA va considerata come se fosse già stata annotata da qualche altra parte.

Tag: Anthropic, sicurezza informatica, violazione dei dati, Claude Code, Cursor, Fireworks AI