2026年11月13日，Cursor 官方博客公布 10 月 29 日安全事件调查结论：攻击源头是发给推理服务商 Fireworks 的一枚访问密钥泄露，攻击者由此拿到未脱敏的编程智能体记录，又把篡改版 Claude Code 扩展塞进扩展市场，最多 5000 名用户可能装上。Cursor 表示事件已得到控制，最后一次攻击活动出现在 11 月 1 日且已被拦截。
攻击是怎么一步步发生的
攻击链条一共五步。攻击者先拿到 Cursor 发给 Fireworks 的访问密钥——这枚密钥由 Fireworks 方面泄露——再从双方共享的存储桶里复制数据。桶里主要是 2025 年未开隐私模式的编程智能体记录；少数记录含有未脱敏凭据，不到 0.01% 的客户 API 凭据因此暴露。攻击者凭此进入 Cursor 用的部分 SaaS 工具，又接触到已归档的非生产源代码库、有限的客服数据和部分智能体对话摘要。10 月 29 日，攻击者用偷来的凭据把篡改版 Claude Code 扩展（2.1.312 与 2.1.313 版）直接放到扩展市场的缓存上，约 11 小时后被下架。这不是 Anthropic 发布的版本，Open VSX 源头也从未带毒。
哪些用户真正受影响，哪些没事
影响分两层：装上恶意扩展的风险只限于 10 月 29 日当天、从 Cursor 扩展市场请求了特定缓存版本的用户，最多 5000 人；数据泄露面更小，未开隐私模式的用户中不到 0.05% 的编程智能体记录被泄露，Cursor 已逐一直接通知。没受影响的部分同样明确：隐私模式下的提示词与代码、实时传输数据、生产系统、Cursor 应用与官方更新、客户代码仓库，以及市场里的其他扩展。应用与云服务代码走另一套独立的代码托管系统，攻击者从未进入，也没有签名密钥泄露。
装过问题版本的用户现在该做什么
如果在 10 月 29 日的暴露窗口内，从 Cursor 扩展市场安装或更新过被篡改的 Anthropic.claude-code 2.1.312 或 2.1.313 版，只卸载扩展不够，要按 Cursor 10 月 30 日的安全公告排查系统；收到凭据轮换邮件的管理员应按邮件列出的密钥逐一轮换。Cursor 已把全部推理流量迁离 Fireworks、停用相关密钥、轮换所有已发现暴露的凭据并重建了扩展市场。接下来值得看的是，Fireworks 那枚密钥到底怎么泄露的。事件最初曝光时，本站曾报道恶意扩展植入 SSH 后门，这次的调查结论补上了攻击链条与影响范围。
