Cursor gardait des sessions de code pour son IA, des pirates y ont trouvé des mots de passe

Cursor, l’éditeur de code doté d’IA basé sur Visual Studio Code, le logiciel open source de Microsoft, affirme que sa récente faille de sécurité a commencé là où la plupart des utilisateurs ne penseraient pas à chercher : dans d’anciennes sessions de programmation conservées par l’entreprise pour entraîner ses modèles d’IA. Certaines de ces conversations enregistrées contenaient encore des mots de passe et des clés API. L’attaquant s’en est servi pour s’introduire plus profondément dans les systèmes de Cursor, jusqu’à parvenir à glisser une copie piégée de l’extension Claude Code d’Anthropic dans la propre galerie d’extensions de l’éditeur.

C’est cet enchaînement qui devrait retenir l’attention de tous ceux qui saisissent un secret dans un assistant IA. Une clé tapée dans une fenêtre de discussion ne disparaît pas à la fin de la session. Si l’outil conserve la conversation, le secret reste dans un jeu de données, et quiconque accède à ce jeu de données récupère aussi la clé.

D’après le rapport d’incident de Cursor, le problème a débuté chez Fireworks AI, une entreprise externe à laquelle Cursor faisait appel pour l’entraînement et l’inférence de ses modèles. Un attaquant a obtenu une clé d’accès que Cursor avait fournie à Fireworks et que, selon Cursor, Fireworks a exposée. Il l’a utilisée pour copier un espace de stockage en lecture seule partagé par les deux entreprises. Celui-ci contenait des traces d’agents de programmation, datant pour la plupart de 2025, issues de sessions dont les utilisateurs n’avaient pas activé le mode confidentialité, le réglage qui empêche Cursor d’utiliser leurs données pour l’entraînement. Cursor affirme que les traces de moins de 0,05 % de ses utilisateurs ont été exposées et que les identifiants API de moins de 0,01 % de ses clients ont été compromis.

Ces identifiants oubliés ont donné accès à plusieurs des outils SaaS utilisés par Cursor. De là, l’attaquant a pu atteindre du code source archivé, qui n’était pas en production, des e-mails adressés au service client, des statistiques d’utilisation et des coordonnées, des résumés de certaines conversations avec des agents IA, ainsi que des identifiants que des clients avaient autrefois communiqués à l’équipe d’assistance de Cursor, comme l’a détaillé BleepingComputer. L’un des identifiants volés permettait de publier des extensions dans le cache de la galerie de Cursor.

C’est ainsi que le faux Claude Code a été mis en circulation. Les versions modifiées, numérotées 2.1.312 et 2.1.313, sont restées disponibles pendant environ 11 heures. Cursor estime que jusqu’à 5 000 personnes ayant demandé ces versions ont pu recevoir la copie malveillante. Celle-ci exécutait du code qui tentait d’installer la clé SSH de l’attaquant et de lui conserver un accès à distance à l’ordinateur du développeur. Cursor insiste sur le fait qu’Anthropic n’a pas publié cette copie, que la faille ne se trouvait pas dans son produit et que le logiciel malveillant n’a jamais été diffusé sur Open VSX, la galerie open source dont Cursor tire ses extensions.

Le rapport laisse aussi des questions sans réponse. Cursor n’a pas indiqué combien de ces 5 000 machines se sont effectivement retrouvées avec une porte dérobée fonctionnelle. Des chercheurs en sécurité ont relevé des erreurs de programmation qui ont probablement empêché son installation sur de nombreux ordinateurs Windows et macOS où SSH n’était pas déjà activé, selon BleepingComputer. Les ordinateurs sur lesquels SSH était déjà activé sont donc les plus exposés. L’entreprise n’a pas non plus expliqué pourquoi les identifiants n’avaient pas été masqués dans les données transmises à son partenaire chargé de l’entraînement : c’est là la véritable leçon à retenir pour tous les outils de programmation IA qui apprennent de leurs utilisateurs. Le mode confidentialité a protégé les personnes qui l’avaient activé, mais, par défaut, les sessions des autres utilisateurs restaient accessibles à des fins d’entraînement.

Cursor n’est pas la seule cible. La société de sécurité Wiz a recensé au moins neuf plateformes de développement IA ayant signalé des incidents en octobre, une vague qu’elle a baptisée « Black October », au cours de laquelle les attaquants recherchaient des clés enregistrées permettant d’accéder à des modèles d’IA payants. Fireworks a elle-même signalé plusieurs violations, et Notion a indiqué que des transcriptions de conversations avec son IA provenant d’un petit nombre d’espaces de travail avaient été exposées par son intermédiaire. Les accès volés sont revendus ou utilisés pour générer des dépenses d’IA facturées aux victimes. Chez l’hébergeur cloud Railway, des secrets volés ont servi à faire grimper la facture d’IA frauduleuse à environ 740 000 dollars, a rapporté BleepingComputer.

Cursor affirme avoir transféré l’ensemble du trafic d’inférence hors de Fireworks, renouvelé tous les identifiants de ses systèmes internes, reconstruit sa galerie d’extensions et redéployé son infrastructure de production. Les utilisateurs du mode confidentialité, l’application Cursor et ses mises à jour officielles n’ont pas été affectés, et aucune clé de signature des versions n’a été exposée. Le service fonctionne de la même manière partout dans le monde : les recommandations s’appliquent donc à tous les marchés. Toute personne ayant installé ou mis à jour Claude Code 2.1.312 ou 2.1.313 depuis la galerie de Cursor le 29 octobre doit suivre les mesures correctives de l’entreprise, et les administrateurs d’équipe doivent vérifier la liste des clés que Cursor leur a envoyée par e-mail.

L’extension malveillante a été mise en ligne le 29 octobre, Cursor a publié son premier avis de sécurité le 30 octobre et la dernière activité de l’attaquant détectée par l’entreprise a été bloquée le 1er novembre. Le rapport d’incident complet a été publié le 13 novembre. L’entreprise affirme qu’elle contactera directement les clients concernés si d’autres éléments sont découverts. Pour les développeurs, le principe de précaution est plus simple que n’importe quel correctif : un mot de passe collé dans une conversation avec une IA doit être considéré comme déjà consigné ailleurs.

Étiquettes: cybersécurité, Anthropic, Claude Code, fuite de données, Cursor, Fireworks AI