Yapay zekâ kod editörü Cursor, haftalar süren güvenlik olayının kök neden raporunu yayımladı: saldırgan, model sağlayıcısı Fireworks AI'ın kendi ihlalinde açığa çıkan ve Cursor'un satıcıya verdiği bir erişim anahtarını kullanıp geçmiş kodlama-ajanı izlerini ve az sayıda sansürsüz kimlik bilgisini kopyaladı; bu bilgilerden yola çıkarak şirket SaaS araçlarına ve arşiv kaynak depolarına ulaştı ve 29 Ekim'de Claude Code uzantısının zehirli sürümlerini Cursor'un önbelleğine yükledi. Şirket, yaklaşık 11 saat erişilebilir kalan zehirli derlemenin en fazla 5 bin kullanıcıya inmiş olabileceğini; müşterilerin yüzde 0,01'inden azında API kimlik bilgisi açığa çıktığını ve 1 Kasım'da son saldırgan etkinliğinin bloklandığını yazdı.
Cursor, Ekim sonunda marketplace’inde beliren zehirli Claude Code uzantıları olayının ayrıntılı kök neden raporunu yayımladı. Zincir, müşterilerin makinesinde değil satıcı tarafında başlıyor: rapora göre saldırgan, model sağlayıcısı Fireworks AI’ın ayrı bir ihlalinde açığa çıkan ve Cursor’un bu satıcıya verdiği bir erişim anahtarını ele geçirdi. Anahtar, salt-okunur bir veri kovasını — çoğu 2025’ten, Gizlilik Modu kullanılmayan ve model eğitimi için paylaşımına izin verilmiş geçmiş kodlama-ajanı oturum izlerini — okuma imkânı veriyordu. Bu izlerin küçük bir bölümünde sansürsüz kimlik bilgileri vardı ve saldırgan bunlarla Cursor’un kullandığı bazı SaaS araçlarına, oradan da iş iletişim bilgileri içeren arşiv niteliğindeki üretim-dışı kaynak depolarına, destek e-postalarına ve kullanım ölçümlerine ulaştı.
Saldırının kullanıcıya dokunan ucu 29 Ekim’de geldi: saldırgan, ele geçirilen bir kimlik bilgisiyle Cursor’un VS Code uzantı marketplace önbelleğine doğrudan yetkisiz Claude Code derlemeleri yükledi. Zehirli sürümler yaklaşık 11 saat erişilebilir kaldı; Cursor, yalnızca belirli önbellek sürümlerini (2.1.312/2.1.313) isteyenlerin bu yola düştüğünü ve bunların en fazla 5 bin kullanıcı olabileceğini tahmin ediyor. Şirket, Anthropic’in ürününü yayımlamadığını ve Open VSX kaynağının zehirli yazılımı hiç taşımadığını belirtiyor — ancak bağımsız bir güvenlik firmasının uzantının ‘Anthropic’in resmi Cursor hesabı’ üzerinden dağıtıldığı yönündeki aktarımıyla Cursor’un anlatısı bu noktada ayrışıyor; Anthropic kendi sistemlerinin ihlal edilmediğini söylüyor. Çelişki, raporun açık uçlarından biri.
Etki sayıları sınırlı ama net değil: müşterilerin yüzde 0,01’inden azında API kimlik bilgisi, Gizlilik Modu dışı kullanıcıların yüzde 0,05’inden azında oturum izi açığa çıktı ve etkilenenler doğrudan haberdar edildi; canlı trafik, üretim sistemleri, müşteri kod depoları ve sürüm imza anahtarları etkilenmedi. Bilinmeyenler de raporda saklı: 5 bin kullanıcının kaçının zehirli derlemeyi çalıştırdığı ve hangi anahtarların rotasyondan önce kötüye kullanıldığı sayılmıyor — bağımsız değerlendirmeler bu boşluğu not ediyor.
İkame ve temizlik geniş kapsamlıydı: Cursor tüm çıkarım trafiğini Fireworks’ten aldı, satıcı anahtarını kapattı, paylaşılan veri kümelerine erişimi kesti, önce açığa çıkan sonra TÜM iç kimlik bilgilerini döndürdü, üretim altyapısını yeniden konuşlandırdı, marketplace’i doğrulayıp yeniden kurdu ve dış adli uzmanlar tuttu. Fireworks tarafında kimlik bilgileri ve servis hesapları yenilendi, Palo Alto Networks Unit 42 desteğiyle erişim daraltıldı ve inceleme süresince self-servis veri kümesi yüklemeleri kapatıldı. Saldırganın gözlemlenen son etkinliği 1 Kasım’da bloklandı; olay ‘kontrol altında’ sayılıyor ancak satıcı tarafı incelemesi sürüyor. Ders satıcı yönetimi hakkında: tek bir satıcı anahtarı, zincirin tamamını açtı.