Brecha de Cursor: la clave de Fireworks abrió la cadena

iento, y esa clave quedó expuesta en el lado del proveedor. El aviso del 29 de octubre ya había contado la parte visible: una copia falsa de la extensión de Claude Code circuló por la tienda de Cursor. Lo nuevo llega ahora: de dónde salió la llave, qué datos se copiaron con ella y hasta dónde llegó el intruso. Esa diferencia convierte un incidente de tienda en un caso de cadena de suministro entre empresas de inteligencia artificial.

Con la clave, el atacante copió datos de un depósito de almacenamiento de solo lectura que Cursor usaba para compartir información con Fireworks. El depósito guardaba trazas limitadas de agentes de codificación, casi todas de 2025, de sesiones sin Privacy Mode, el modo privado del editor, que la empresa podía usar para entrenar modelos. La mayoría no servía para entrar a ningún sistema; una parte pequeña traía credenciales sin tachar. Del lado del proveedor, el boletín de Fireworks ubica su propio incidente unos días antes: la empresa informó que un proveedor de nube que aloja sus máquinas de investigación y desarrollo sufrió un acceso no autorizado el 23 de octubre, detectado al día siguiente, con apoyo forense de Unit 42 (Palo Alto Networks).

Unite.AI anotó un dato incómodo al publicar ese detalle: el boletín de Fireworks no menciona a Cursor, así que la conexión entre ambos incidentes la establece, por ahora, la versión de Cursor. Las credenciales de las trazas abrieron la segunda puerta Esas credenciales sin tachar fueron la segunda llave. Con ellas, el atacante entró a varias herramientas de software como servicio (SaaS) de Cursor y, desde ahí, alcanzó repositorios archivados de código fuente fuera de producción, algunos con información de contacto comercial. También accedió a datos limitados de soporte y conversaciones por correo, métricas de uso del producto con datos de contacto, resúmenes de conversaciones con agentes y credenciales que usuarios habían enviado a soporte.

Cursor detalló que sus sistemas de vigilancia detectaron la actividad no autorizada y que la respuesta cortó accesos por capas: desactivó la clave del proveedor, revocó y rotó credenciales, buscó otras entradas y apagó servicios internos y del producto, más de los que la evidencia pedía; varias funciones fallaron durante el apagón y volvieron una a una tras su revisión. El 29 de octubre, con una credencial robada de esos datos internos, el atacante plantó las copias alteradas de la extensión falsa de Claude Code, versiones 2.1.312 y 2.1.313, directo en la memoria caché que sirve la tienda de extensiones para VS Code. Anthropic no publicó esa copia ni su producto tenía el fallo, y Open VSX, la fuente abierta de esa tienda, nunca alojó el programa dañino. La ventana fue corta y fea: unas 11 horas, con hasta 5.000 usuarios que pidieron esas versiones en ese rato.

Al día siguiente, el aviso del 30 de octubre trajo indicadores de compromiso, pasos de corrección y guiones para revisar cada equipo, y la empresa avisó a usuarios y administradores por la aplicación y por correo. A los administradores con credenciales expuestas les llegó la lista exacta de claves a rotar, y Cursor pidió a los servicios emisores que las revocaran. La advertencia práctica sigue vigente: desinstalar la extensión alterada, por sí sola, puede no bastar. Las cifras del informe dejan el daño en una franja estrecha.

Menos del 0,01 % de los clientes tuvo credenciales de API (interfaz de programación de aplicaciones) expuestas dentro de las trazas, y entre quienes no usan Privacy Mode, las trazas copiadas tocan a menos del 0,05 % de los usuarios. La empresa identificó a cada usuario de ese grupo y lo avisó de forma directa; quien no recibió ningún aviso no apareció en el material copiado. Los repositorios de código de los clientes no se tocaron, los sistemas de producción tampoco, y las claves de firma de las versiones oficiales nunca quedaron expuestas. El alcance real, en cifras chicas y un corte total La última actividad del atacante quedó registrada el 1 de noviembre y fue bloqueada.

La empresa da el incidente por contenido y ejecutó el corte con el proveedor en tres movimientos: movió toda su inferencia fuera de Fireworks, desactivó la clave emitida y cerró el acceso de Fireworks a cada conjunto de datos compartido. Dentro de casa rotó todas las credenciales, amplió las restricciones de red entre proveedores, sumó escaneo de secretos en repositorios y otras fuentes internas, redesplegó su infraestructura de producción y contrató peritos forenses externos. Para quien programa con asistentes de IA en la región, la lección incómoda no está en el editor. Está en la costumbre de pegar claves de API en chats y sesiones de agente que luego se guardan como trazas para entrenar modelos: ese historial se convirtió en el mapa del ataque.

Revisar si el 29 de octubre se instaló alguna de las dos versiones alteradas desde la tienda de Cursor y rotar cualquier clave que haya pasado por una sesión sin Privacy Mode son las dos tareas concretas que deja el informe de la propia empresa afectada. Fuente: Cursor