A Cursor guardava conversas de código para treinar IA e piratas encontraram lá palavras-passe

O Cursor, editor de código com IA baseado no Visual Studio Code, de código aberto da Microsoft, afirma que a recente violação de segurança começou num lugar em que a maioria dos utilizadores nunca pensa: sessões antigas de programação que a empresa guardava para treinar modelos de IA. Algumas dessas conversas guardadas ainda continham palavras-passe e chaves de API. O atacante usou-as para avançar pelos sistemas do Cursor até conseguir introduzir no marketplace de extensões do próprio editor uma cópia adulterada da extensão Claude Code, da Anthropic.

É esta cadeia de acontecimentos que importa para quem quer que cole um segredo num assistente de IA. Uma chave escrita numa janela de chat não desaparece quando a sessão termina. Se a ferramenta guardar a conversa, o segredo permanece num conjunto de dados, e quem conseguir aceder a esse conjunto também fica com a chave.

Segundo o relatório de incidente do Cursor, o problema começou na Fireworks AI, uma empresa externa que o Cursor utilizava para treinar modelos e executar inferências. Um atacante obteve uma chave de acesso que o Cursor tinha emitido para a Fireworks, e que, segundo o Cursor, foi exposta pela Fireworks, e usou-a para copiar um contentor de armazenamento partilhado pelas duas empresas, com acesso apenas de leitura. Lá dentro estavam registos de agentes de programação, na sua maioria de 2025, provenientes de sessões em que os utilizadores não tinham ativado o Privacy Mode, a definição que impede o Cursor de usar os seus dados para treinar modelos. O Cursor afirma que os registos de menos de 0,05% dos utilizadores foram expostos e que as credenciais de API de menos de 0,01% dos clientes ficaram comprometidas.

Essas credenciais esquecidas abriram o acesso a várias das ferramentas de software como serviço que o Cursor utiliza. A partir daí, o atacante chegou a código-fonte arquivado, não destinado a produção, a emails enviados ao apoio ao cliente, a métricas de utilização e dados de contacto, a resumos de algumas conversas com agentes de IA e a credenciais que os clientes tinham partilhado anteriormente com a equipa de apoio do Cursor, como detalhou o BleepingComputer. Uma das credenciais roubadas permitia publicar na cache por detrás do marketplace de extensões do Cursor.

Foi assim que surgiu o Claude Code falso. As versões adulteradas, com os números 2.1.312 e 2.1.313, estiveram disponíveis durante cerca de 11 horas, e o Cursor calcula que até 5000 pessoas que as solicitaram poderão ter recebido a versão maliciosa. Esta executava código que tentava instalar a chave SSH do atacante e manter o acesso remoto ao computador do programador. O Cursor salienta que a cópia não foi publicada pela Anthropic, que a falha não estava no produto da Anthropic e que o Open VSX, o marketplace aberto de onde o Cursor obtém as suas extensões, nunca alojou o malware.

O relatório também deixa questões por responder. O Cursor não revelou quantos desses 5000 computadores acabaram realmente com uma porta traseira funcional. Investigadores de segurança encontraram erros no código que provavelmente impediram a sua execução em muitos computadores Windows e macOS onde o SSH não estava já ativado, segundo o BleepingComputer, o que deixa mais expostos os computadores em que o SSH já estava ligado. A empresa também não explicou por que motivo as credenciais não foram ocultadas nos dados que entregou a um parceiro de treino — a verdadeira lição para todas as ferramentas de programação com IA que aprendem com os seus utilizadores. O Privacy Mode protegeu quem o ativou, mas, como a definição estava desligada por defeito, as sessões de todos os outros ficaram disponíveis para treino.

O Cursor não foi o único alvo. A empresa de segurança Wiz contabilizou pelo menos nove plataformas de desenvolvimento de IA que divulgaram incidentes em outubro, numa vaga a que chama Black October, durante a qual os atacantes procuraram chaves guardadas que dão acesso a modelos de IA pagos. A própria Fireworks divulgou mais do que uma violação, e a Notion afirmou que transcrições de conversas com IA de um pequeno número de espaços de trabalho foram expostas através da Fireworks. O acesso roubado é revendido ou usado para consumir serviços de IA faturados à vítima. No fornecedor de alojamento na nuvem Railway, segundo noticiou o BleepingComputer, segredos roubados foram usados para gerar cerca de 740 000 dólares em despesas fraudulentas com IA.

O Cursor afirma que transferiu todo o tráfego de inferência para fora da Fireworks, substituiu todas as credenciais dos seus sistemas internos, reconstruiu o marketplace de extensões e voltou a implementar a sua infraestrutura de produção. Os utilizadores do Privacy Mode, a aplicação Cursor e as atualizações oficiais não foram afetados, e nenhuma chave de assinatura de versões foi exposta. O serviço funciona da mesma forma em todo o mundo, pelo que o conselho se aplica a todos os mercados: quem tenha instalado ou atualizado para o Claude Code 2.1.312 ou 2.1.313 a partir do marketplace do Cursor em 29 de outubro deve seguir as instruções de remediação da empresa, e os administradores de equipas devem consultar a lista de chaves que o Cursor lhes enviou por email.

A extensão maliciosa foi disponibilizada a 29 de outubro, o Cursor publicou o primeiro aviso de segurança a 30 de outubro e a última atividade do atacante detetada pela empresa foi bloqueada a 1 de novembro. O relatório completo sobre o incidente foi publicado a 13 de novembro, e a empresa afirma que contactará diretamente os clientes afetados se surgir mais alguma informação. Para os programadores, a regra mais segura é mais simples do que qualquer correção: uma palavra-passe colada num chat de IA deve ser tratada como se já tivesse sido anotada noutro lugar.

Etiquetas: cibersegurança, Anthropic, Claude Code, fuga de dados, Cursor, programação com IA