Ein gestohlener Schlüssel beim KI-Dienstleister Fireworks AI reichte: Angreifer kamen an alte Agenten-Protokolle von Cursor, fanden darin Zugangsdaten und schleusten eine verseuchte Claude-Code-Erweiterung in den Marktplatz des KI-Editors. Bis zu 5.000 Entwickler könnten sie installiert haben.
Cursor hat am 13. November einen ausführlichen Vorfallbericht veröffentlicht. Er erklärt, was am 29. Oktober im Extension-Marktplatz des Editors passiert ist, und zeigt zugleich, wie weit der Einbruch bei Fireworks AI inzwischen reicht. Neben Cursor und Notion hat auch Uber Datenabflüsse über Fireworks-Zugangsdaten gemeldet, wie TechCrunch berichtet.
Was belegt ist
Laut Cursor begann der Angriff bei Fireworks, einem Anbieter für Training und Inferenz offener KI-Modelle. Der Angreifer erbeutete dort einen Zugangsschlüssel, den Cursor an Fireworks ausgegeben hatte. Damit kopierte er einen nur lesbaren Speicher-Bucket, über den Cursor Daten mit Fireworks teilte. Darin lagen Protokolle von Coding-Agent-Sitzungen, überwiegend aus 2025, und zwar von Nutzern ohne aktivierten Privacy Mode, deren Daten für das Modelltraining verwendet werden durften.
Das eigentliche Problem: In einigen dieser Protokolle standen unredigierte Zugangsdaten. Betroffen waren nach Cursors Angaben weniger als 0,05 Prozent der Nutzer bei den Protokollen und weniger als 0,01 Prozent der Kunden bei API-Zugangsdaten. Mit diesen Daten gelangte der Angreifer in mehrere SaaS-Werkzeuge von Cursor. Dort griff er unter anderem auf archivierte, nicht produktive Quellcode-Repositories, Support-Daten und E-Mail-Verläufe, Nutzungsmetriken, Zusammenfassungen von Agenten-Gesprächen und Zugangsdaten zu, die Kunden dem Support geschickt hatten.
Mit einer weiteren gestohlenen Zugangsberechtigung legte der Angreifer am 29. Oktober manipulierte Kopien von Anthropics Claude-Code-Erweiterung direkt in den Cache, über den Cursor seinen VS-Code-Marktplatz ausliefert. Betroffen sind die Versionen 2.1.312 und 2.1.313. Sie waren rund elf Stunden abrufbar. Anthropics eigene Erweiterung und die Quelle Open VSX waren laut Cursor nicht kompromittiert.
Laut BleepingComputer führte der eingeschleuste JavaScript-Code Systemerkennung aus, hinterlegte einen SSH-Schlüssel des Angreifers, versuchte SSH-Zugang zu aktivieren und richtete Persistenz ein. Sicherheitsforscher fanden demnach Programmierfehler, die die Hintertür auf vielen Windows- und macOS-Systemen ohne bereits aktivierten SSH-Dienst wohl ins Leere laufen ließen.
Was nicht betroffen sein soll
Cursor betont, dass Produktionssysteme, die offizielle App samt Updates, Signaturschlüssel, Kunden-Repositories sowie Code und Prompts im Privacy Mode nicht betroffen seien. Die letzte Aktivität des Angreifers habe das Unternehmen am 1. November gesehen und blockiert; man halte den Vorfall für eingedämmt. Als Reaktion hat Cursor den gesamten Inferenz-Verkehr von Fireworks abgezogen, alle internen Zugangsdaten rotiert, den Marktplatz neu aufgebaut und die Produktionsinfrastruktur neu ausgerollt.
Der harte Punkt ist die Datenhaltung
Technisch war der Marktplatz nur die letzte Station. Der Hebel lag in Trainingsdaten: Agenten-Protokolle enthalten, was Entwickler und ihre Werkzeuge im Terminal sehen, und dazu gehören eben auch API-Schlüssel und Tokens. Wer solche Protokolle aufbewahrt und an Dienstleister weiterreicht, verteilt im Zweifel Generalschlüssel. Cursor räumt das selbst ein: Man habe Secret-Scanning auf Repositories und weitere interne Datenquellen ausgeweitet.
Der Fall reiht sich in eine Angriffswelle auf KI-Entwicklerplattformen ein, die Wiz laut BleepingComputer „Black October“ nennt. Betroffen waren unter anderem Railway, Northflank, Lightning AI, OpenCode und Warp. Die Angreifer wollten vor allem Zugangsdaten zu KI-Modellen, um auf fremde Rechnung Inferenz zu betreiben. Bei Fireworks selbst summieren sich die Folgeschäden: Notion meldete offengelegte KI-Chatprotokolle, Uber den Abfluss von Führerscheindaten von Fahrern, laut den Meldungen an US-Behörden allein 2.567 in Massachusetts, 3.430 in South Carolina und 1.873 in Rhode Island. Weitere Zahlen, etwa aus Kalifornien, stehen noch aus.
Was Entwickler jetzt tun sollten
- Prüfen, ob am 29. Oktober in Cursor die Claude-Code-Erweiterung in Version 2.1.312 oder 2.1.313 installiert oder aktualisiert wurde.
- Falls ja, den Schritten aus Cursors Sicherheitshinweis folgen. Cursor warnt ausdrücklich, dass Deinstallieren allein womöglich nicht reicht: unbekannte Einträge in
authorized_keys, aktivierte SSH-Dienste und Autostart-Einträge prüfen.
- Zugangsdaten, die je in Agenten-Sitzungen oder Support-Tickets auftauchten, rotieren, unabhängig davon, ob eine Benachrichtigung kam.
- Für Teams: Privacy Mode als Standard setzen und Secrets grundsätzlich aus Agenten-Kontexten heraushalten.
Wie viele der bis zu 5.000 möglicherweise betroffenen Nutzer in Europa sitzen, nennt Cursor nicht. Betroffene will das Unternehmen direkt per E-Mail und In-App-Hinweis informiert haben.
Quellen
📂
Kategorie
News
Aktuelle Meldungen aus der Tech-Welt – kompakt eingeordnet, ohne Clickbait-Überschriften.
