Cursor 公布安全事件调查结果：攻击始于泄露的 Fireworks 访问密钥，被篡改的 Claude Code 扩展最多波及 5,000 人，不到 0.05% 用户的 Agent 记录外泄

核心背景与行业痛点

10 月 30 日 Cursor 披露其 VS Code 扩展市场出现被篡改的 Claude Code 扩展，当时没说清恶意版本是怎么进来的。11 月 14 日（UTC），Cursor 在 X 和官方博客发布两周调查的更新，给出了完整攻击链。这次事件的教训超出扩展本身：AI 编程工具会把 Agent 记录交给第三方做训练和推理，一把泄露的供应商密钥加上记录里没脱敏的凭据，就能一路打进公司内部系统。

架构亮点与底层机制

按 Cursor 官方口径，攻击分四步：一是拿到 Cursor 发给 Fireworks 的访问密钥（官方称由 Fireworks 泄露），从一个共享用的只读存储桶复制了部分编码 Agent 记录，多为 2025 年、未开隐私模式、允许用于训练的会话；二是用少量记录里未脱敏的凭据进入 Cursor 使用的部分 SaaS 工具，访问到归档的非生产代码库、部分客服邮件、使用指标、部分 Agent 对话摘要，以及用户发给客服的一些凭据；三是用偷来的内部凭据，在 10 月 29 日把篡改版 Anthropic.claude-code 2.1.312/2.1.313 直接放到扩展市场的缓存上；四是 Cursor 监控发现异常后停用密钥、轮换凭据并大范围临时关停服务，官方称最后一次攻击活动发生在 11 月 1 日且已被拦截。

权威 Benchmark 与实测跑分对比

这是安全事件，官方未公布任何跑分。可核实的数字均为 Cursor 官方口径：恶意扩展暴露约 11 小时、最多 5,000 名用户可能装到；API 凭据外泄的客户不到 0.01%；Agent 记录外泄的用户不到 0.05%。Cursor 强调隐私模式数据、正在发送的实时流量、生产系统、正式发布的应用和更新（发布签名密钥未泄露）、客户代码库及其他扩展和插件都未受影响。

开发者实战落地与开箱指南

如果你在 10 月 29 日从 Cursor 扩展市场装过或更新到 2.1.312/2.1.313，仍要按 10 月 30 日安全通告的步骤自查和清理，仅卸载扩展不够。没收到 Cursor 通知的用户，官方称其数据不在外泄记录里；团队管理员如收到需轮换的密钥清单，应尽快处理。更普遍的做法：不要把密钥贴进 Agent 对话或客服工单；敏感项目开隐私模式；给第三方供应商发的密钥限定网络来源并定期轮换；在代码库和内部数据源里开密钥扫描。疑问可发邮件到 [email protected]。