📰 重點摘要

Cursor 公布了先前 Claude Code 插件遭投毒事件的調查結果，歷時兩週，攻擊源頭指向其 AI 服務商 Fireworks。Cursor 表示，Fireworks 洩露了一把由 Cursor 授予的存取金鑰，駭客用它複製了存放在共享儲存空間的歷史 Coding Agent 運行記錄，這些資料主要來自 2025 年未開啟隱私模式的用戶會話，原本用於模型訓練。部分記錄中的 API 金鑰未經脫敏，駭客藉此進一步入侵 Cursor 使用的部分內部軟體服務，取得已歸檔的非生產程式碼、客服郵件、產品使用數據、部分 AI 對話摘要，以及用戶曾提交給客服的憑證。10 月 29 日，駭客再利用竊得的內部憑證篡改擴充商店的快取，把植入 SSH 後門的 Claude Code 2.1.312 與 2.1.313 版本提供給用戶，惡意版本存在約 11 小時，最多 5000 名用戶可能下載。上游的 Open VSX 並未遭篡改，Anthropic 官方版本也不受影響。Cursor 指出，外洩的運行記錄涉及不到 0.05% 的用戶，其中不到 0.01% 的用戶暴露了 API 憑證；開啟隱私模式的會話、客戶程式碼倉庫與生產系統未受波及。最後一次發現駭客活動是在 11 月 1 日，當時已成功攔截。目前 Cursor 已通知受影響用戶，全面停止使用 Fireworks 處理推論請求，撤銷其資料存取權限，並輪換內部憑證、重新部署生產基礎設施。

💬 JudyAI Lab 觀點

Cursor 這次的調查結果顯示，一次擴充商店的供應鏈攻擊，源頭其實是上游AI服務商Fireworks洩露的一把存取金鑰。從金鑰外洩到惡意版本上架，整條攻擊鏈環環相扣，也把用來訓練模型的資料風險推到檯面上。

這個案例對AI builder有幾點啟發。第一，駭客複製的是原本用於模型訓練的歷史Coding Agent執行記錄，部分記錄裡的API金鑰沒有脫敏，才讓攻擊從第三方一路延伸到Cursor的內部服務，最後篡改擴充商店快取，把植入SSH後門的Claude Code 2.1.312與2.1.313版本送到使用者手上。第二，Cursor在原文中說明，開啟隱私模式的會話、客戶程式碼倉庫與生產系統未受波及，可見資料隔離的設計確實擋住了更大的損失。第三，風險不只在自家系統，推論或訓練環節交給外部服務商時，對方的金鑰管理也等於自己的攻擊面。事後Cursor全面停用Fireworks處理推論請求，並輪換內部憑證，代價相當高。

建議這週盤點一次：你的Agent執行記錄與對話紀錄存在哪裡、有沒有讓API金鑰以明文留在裡面，並在寫入前先做脫敏。

📅 原文資訊

🔗 延伸閱讀