Cursor confirme l'intrusion via Fireworks AI : fausse extension Claude Code servie à près de 5 000 développeurs

Cursor publie son post-mortem complet de l'intrusion d'octobre : les attaquants ont utilisé une clé exposée chez Fireworks AI pour accéder à un bucket de traces de l'agent de code contenant des credentials non rédigés, puis ont publié deux versions trojanisées (2.1.312 et 2.1.313) de l'extension Claude Code sur sa marketplace le 29 octobre. Les extensions sont restées accessibles environ 11 heures, et jusqu'à 5 000 utilisateurs ayant demandé les versions concernées pourraient avoir reçu les binaires malveillants qui tentaient d'installer une backdoor SSH persistante. Cursor affirme que son infrastructure de production, les releases officielles et le code des utilisateurs en Privacy Mode n'ont pas été touchés.