11月13日，Cursor在官方博客公布了10月29日安全事件的调查结果：攻击的起点是第三方供应商Fireworks泄露的一枚访问密钥，攻击者用它复制了只读存储桶里的编码智能体轨迹，并把篡改过的Claude Code扩展塞进Cursor扩展市场的缓存，最多5000名用户可能装到了受污染的版本。绝大多数用户没有受到影响，Cursor已逐一联系了受影响的用户。
攻击是怎么发生的
调查还原的经过大致是这样。先是Fireworks：攻击者拿到Cursor发给这家供应商的密钥，从只读存储桶复制了以2025年为主的编码智能体轨迹，其中少量未脱敏的记录带有凭证，不到0.01%用户的API凭证因此泄露。攻击者拿着这些凭证进入Cursor使用的部分SaaS工具，接触到归档的非生产源代码库、客服数据和邮件往来、产品使用指标，以及用户发给客服团队的凭证。Cursor的监测系统发现异常活动后停用了这家供应商的密钥，开始轮换凭证并追查进一步的未授权访问。
第二环是恶意扩展。10月29日，攻击者用偷来的凭证把篡改过的Claude Code扩展2.1.312和2.1.313版放进Cursor扩展市场的缓存，存在约11小时后被下架。Anthropic没有发布这个版本，扩展市场的源头Open VSX也从未感染，最多5000名索取了特定缓存版本的用户可能中招。10月30日，Cursor发布安全公告和排查脚本，开始通知受影响用户和团队管理员；最后一次攻击活动出现在11月1日，已被拦截，Cursor认为事件已经得到控制。
哪些用户需要自查
没收到通知的用户，数据不在泄露的轨迹里，不用额外处理——非隐私模式用户的编码智能体轨迹也只有不到0.05%被泄露。但10月29日在Cursor扩展市场安装或更新过Claude Code扩展2.1.312、2.1.313版的用户，要按官方安全公告里的步骤排查，仅卸载扩展不够。隐私模式用户的提示词和代码、生产系统、Cursor应用与官方更新、客户代码仓库均未受影响。Cursor近来并不平静，此前OpenAI模型已于11月12日撤出Cursor。
Cursor已经把全部推理流量迁离Fireworks并停用相关密钥，轮换了全部内部凭证，重建了扩展市场并请外部取证机构介入。这件事也给所有开发者提了个醒：扩展市场的缓存层同样可能成为攻击面，装扩展前先确认发布者是不是官方。
