Cursor 官方於十一月十三日發表十月底資安事故的調查更新，指事件由該公司發予推論供應商 Fireworks 的一組存取金鑰外洩開始。攻擊者據此複製一個只讀儲存桶內、主要來自二零二五年、且不在私隱模式的編程代理軌跡；當中少數軌跡含未經遮蓋的憑證，少於百分之零點零一的客戶有應用程式介面憑證外露。官方還原，攻擊者其後於十月二十九日把未經授權的 Anthropic Claude Code 擴充功能放入 Cursor 的 Visual Studio Code 擴充功能市集快取，最多約五千名當日索取特定快取版本的用戶可能收到惡意組建，約十一小時後已移除。官方相信事件已受控，最後一次見攻擊者活動為十一月一日且已被攔截。本文已核對 Cursor 官方網誌及 Fireworks 官方安全公告。

Cursor／官方：更新十月市集惡意擴充功能事故調查——指由 Fireworks 存取金鑰外洩開始，攻擊者複製非私隱模式訓練軌跡；少於百分之零點零一客戶的應用程式介面憑證外露，事件相信已受控

Cursor 於十月二十九日曾公布，其 Visual Studio Code 擴充功能市集出現未經授權的 Anthropic Claude Code 惡意版本。事隔約兩星期，該公司於十一月十三日再發調查更新，交代根因、額外受影響的資料類別，以及其後的圍堵與加固措施。同一供應鏈上，Fireworks 亦已就其十月事故發布官方安全公告，並於十一月九日補充後期發現。以下僅轉述已核對的官方陳述，並清楚區分兩家公司各自公布的範圍，不把尚未由對方確認的細節合併成單一結論。

一、核心事件：供應商金鑰外洩後，市集快取出現惡意擴充功能

據 Cursor 十一月十三日官方網誌，調查還原的起點是 Fireworks。Cursor 寫道，攻擊者取得該公司發予 Fireworks 的一組存取金鑰，而「該金鑰由 Fireworks 外洩」。攻擊者隨後從一個只讀儲存桶複製資料；該儲存桶是 Cursor 用來與 Fireworks 共享資料，內含有限的編程代理軌跡，多數來自二零二五年，且來自非私隱模式的工作階段，官方指這些軌跡屬其獲准用於模型訓練的範圍。

官方稱，少數軌跡含有未經遮蓋的憑證，少於百分之零點零一的客戶有應用程式介面憑證外露。攻擊者再憑這些憑證進入 Cursor 使用的部分軟件即服務工具，並由此存取：部分已封存的非生產原始碼倉庫（當中有的含商務聯絡資料）、有限的客戶支援資料與電郵往來、產品用量指標與聯絡詳情、部分編程代理對話摘要，以及用戶曾發送予 Cursor 支援團隊的部分憑證。

官方其後寫道，十月二十九日，攻擊者利用從內部系統外露資料中竊得的憑證，把未經授權、冒充 Anthropic Claude Code 的惡意擴充功能，直接放入用於提供 Cursor Visual Studio Code 擴充功能市集的快取。官方明確指出：該複本並非 Anthropic 發布，亦不是 Anthropic 產品本身的漏洞；市集上游來源 Open VSX 從未含有該惡意程式。最多約五千名於十月二十九日索取特定快取版本的用戶，可能收到惡意組建；該組建約十一小時後被移除。官方其後下架該組建、暫時關閉擴充功能市集，並與托管攻擊者伺服器的雲端供應商合作將其下線。

Cursor 相信事件已受控。官方寫道，最後一次見攻擊者活動為十一月一日，且已被攔截。該公司表示會繼續監察異常活動，若發現影響客戶的新資料，將直接聯絡當事人。

Fireworks 的官方公告可作為供應商端事故的獨立佐證，但範圍與 Cursor 所述並不完全重疊。Fireworks 於十月十日（太平洋時間）發布公告，指十月六日發現內部憑證遭未授權使用，未經授權的第三方存取了「有限數量客戶帳戶」中用於評估工作的環境變數。十一月九日的更新則補充，其後發現部分帳戶的帳戶與賬單資料受影響；對有限帳戶而言，機密、數據集及未完成模型亦受影響。官方並指，十月二十三日托管其研發機器的第三方雲端供應商發生資安事故，十月二十四日未經授權的第三方藉此進入 Fireworks 開發機器並執行未授權工作負載，導致額外的客戶資料影響；當局稱當日已偵測並處置，截至十月二十五日，未再發現攻擊者成功未授權存取客戶使用的 Fireworks 平台。上述數字與時間點均來自 Fireworks 公告，不能直接等同於 Cursor 客戶的受影響範圍。

技術細節

Cursor 十月二十九日的安全通知列明，涉事版本為 Anthropic.claude-code 2.1.312 及 2.1.313，適用於 Windows 與 macOS；該等惡意版本並非由 Anthropic 開發。官方當時寫道，惡意程式會嘗試收集主機與用戶資訊，並試圖把攻擊者控制的 SSH 金鑰寫入 authorized_keys、啟用本機 SSH 服務及建立反向隧道；但在 Cursor 並非以系統管理員權限啟動的常見情況下，由於惡意程式錯誤，啟用本機 SSH 服務的步驟會失敗。即使如此，官方仍要求受影響主機依指引清理，因為擴充功能可能已寫入金鑰、安裝持久化機制並外傳主機資料。通知同時列出攻擊者金鑰註解為 svc-telemetry 等妥協指標，並提醒只移除擴充功能可能不足夠，因為裝載會留下可繼續執行的獨立持久化腳本。十月三十日太平洋時間上午十一時三十分，官方曾更新妥協指標並釐清受影響版本。

十一月十三日的更新則補充：對未使用私隱模式的用戶而言，編程代理軌跡外露的比例少於百分之零點零五；官方已識別並逐一通知。若客戶未收到通知，官方指其資料不在這些軌跡之中。官方並列出未受影響的範圍，包括：當下正在發往 Cursor 的資料或即時流量（外露軌跡限於作歷史離線分析的儲存）、運行 Cursor 的生產系統與基建、Cursor 應用程式及其官方更新與簽發至用戶端及雲端的程式碼（官方稱由攻擊者從未進入的另一套程式碼托管系統發布，發布簽署金鑰亦未外露）、市集內其他擴充功能、現行推論請求，以及客戶的程式碼倉庫。官方並稱已把全部推論流量移離 Fireworks，撤銷該金鑰並切斷其對共享數據集的存取。

二、技術原理深度解析

這次事故呈現一條典型的供應鏈與密鑰衛生問題，而不是單一產品介面的公開漏洞。第一層是供應商邊界：Cursor 把獲准用於訓練的非私隱模式軌跡，放到與推論供應商共享的只讀儲存桶；一旦發予該供應商的存取金鑰外洩，攻擊者不必先攻破 Cursor 的生產叢集，也能讀取桶內資料。官方其後承認，少數軌跡含未經遮蓋的憑證，成為下一跳的入口。

第二層是憑證再利用：外露的應用程式介面憑證被用來進入 Cursor 使用的部分軟件即服務工具，再觸及封存原始碼、支援郵件與用戶自行提交的憑證等內部資料。這說明，即使生產系統與發布簽署金鑰未受影響，周邊軟件即服務與支援流程仍可能成為橫向移動的通道。

第三層是發行通路的快取投毒。官方特別澄清，惡意擴充功能並不是寫進 Open VSX 上游，而是被放到「用於提供 Cursor 市集」的快取。對使用者而言，他們仍然是從 Cursor 市集取得看似合法的擴充功能版本，但來源並非 Anthropic 官方發布。這把「上游套件是否被竄改」與「分發快取是否被寫入」分成兩件必須分開驗證的事。

第四層才是終端上的惡意行為。十月二十九日通知所描述的 SSH 後門，依賴本機權限與程式是否成功執行；官方已說明在多數非管理員環境下，開啟本機 SSH 服務的步驟會失敗，但金鑰寫入與持久化仍須清理。十一月十三日更新亦再次提醒，若曾在曝露時段安裝或更新至 2.1.312 或 2.1.313，只卸載擴充功能可能不足夠，應依官方安全通知的步驟處理。

Fireworks 十一月九日的更新，則從供應商自身的角度補充了另一條時間線：除十月上旬已知的評估工作機密外洩外，其後還發現賬單資料及部分帳戶的數據集、未完成模型受影響，並描述十月二十三日至二十四日第三方雲端與開發機器的後續活動。Fireworks 將其掌握的證據與一類以轉售大型語言模型權杖為目標、被稱為 LLMJacking、以牟利為動機的威脅活動相連，並引述 Google Threat Intelligence Group 與 Mandiant 於十一月二日的公開文章。必須強調：這是 Fireworks 就其本平台調查所作的描述，Cursor 十一月十三日更新並未把市集惡意擴充功能的動機歸因於同一威脅組織。兩條官方敘事可互相參照，但不應被寫成已共同定罪的同一案件。

四、日常應用場景

1. 開發者與技術團隊

曾於十月二十九日太平洋時間約上午二時二十七分至下午一時三十五分，從 Cursor 的 Visual Studio Code 擴充功能市集安裝或更新 Anthropic.claude-code 2.1.312 或 2.1.313 的 Windows 與 macOS 用戶，應以 Cursor 十月二十九日安全通知為準，檢查是否寫入註解為 svc-telemetry 的未授權 SSH 金鑰，並執行官方提供的清理步驟。只卸載擴充功能並不足夠。即使官方指開啟本機 SSH 服務在多數情況下會失敗，已寫入的金鑰、持久化機制與外傳的主機資料仍須處理，並應在可信裝置上輪替從受影響主機可觸及的憑證與工作階段。

日常開發則應檢視：哪些軌跡或提示會在關閉私隱模式時被供應商用於訓練或離線分析；應用程式介面金鑰、雲端權杖是否會出現在代理日誌中；以及擴充功能是否只從可核對的官方通道安裝。

2. 企業與隱私敏感行業

金融、法律、醫療及任何把原始碼或客戶資料交予編程代理的機構，應核對兩件事：其一，是否已收到 Cursor 的逐一通知；官方指未使用私隱模式而軌跡外露的用戶少於百分之零點零五，且若未接獲通知，其資料不在這些軌跡之中。其二，支援工單或電郵是否曾向 Cursor 支援團隊發送過金鑰或權杖；官方已確認攻擊者存取了部分這類資料，並已直接通知可能受影響的客戶。

企業亦應把「第三方推論與訓練供應商可讀哪些資料」寫進採購與資料處理條款，包括私隱模式預設、日誌遮蓋、金鑰範圍與來源限制，以及供應商事故的通知時限。Cursor 已把全部推論流量移離 Fireworks，並作為預防措施輪替內部系統中使用中的憑證；這並不自動等於客戶側的第三方憑證已全部失效，仍須按通知輪替。

3. 一般用戶

一般使用者未必管理市集或供應商金鑰，但仍應避免在編程代理對話或支援郵件中貼上生產環境密碼、私人金鑰或雲端權杖。若從未安裝上述兩個惡意版本，亦未收到官方通知，按 Cursor 的說明，不屬於這批已識別的軌跡外露範圍。面對任何聲稱「官方補發錢包、要求提供復原詞或驗證碼」的訊息，都應只經官方網站或已核實的支援渠道處理。

4. 香港與亞洲市場視角

香港不少產品團隊以 Cursor 一類人工智能編程工具配合雲端推論供應商加快交付，原始碼、內部票務與雲端密鑰有時會進入提示、日誌或支援附件。這次官方敘事的核心，不是單一編輯器功能失效，而是「發予供應商的金鑰一旦外洩，只讀訓練資料與周邊軟件即服務也可成為跳板」。本地金融與專業服務機構若把程式開發外判或採用混合雲推論，應要求供應商說明私隱模式、日誌保留、密鑰輪替與事故通報安排，並清查員工是否曾在曝露時段安裝特定擴充功能版本。對必須把數據留在本地或香港境內的團隊而言，選擇可審計的私有模型托管，也是降低同類第三方訓練資料外洩面的一種架構選擇。

五、專業評價與潛在考量

優勢

Cursor 在事發約兩星期後公布根因，量化了應用程式介面憑證外露（少於百分之零點零一客戶）與非私隱模式軌跡外露（少於百分之零點零五用戶）的比例，並列明已通知的對象、未受影響的系統，以及最後一次攻擊活動的日期。官方把「Open VSX 上游未含惡意程式」與「市集快取被寫入」分開陳述，有助避免把責任或影響範圍寫得過寬。Fireworks 亦以獨立安全公告交代十月六日起的內部憑證事故，並在十一月九日補充後期發現與加固措施，讓讀者可以交叉核對供應商端時間線。

需要留意的地方

兩家官方來源描述的是相互關聯、但範圍不同的調查。Cursor 指金鑰「由 Fireworks 外洩」，這是 Cursor 的陳述；Fireworks 公告確認自身發生內部憑證遭未授權使用，但公開文本並未逐一點名受影響客戶。Fireworks 十月十日仍寫「當時未發現客戶模型、數據集、訓練資料或推論流量在其安全邊界內遭未授權存取」，十一月九日卻補充其後發現賬單資料及部分帳戶的機密、數據集與未完成模型受影響，說明初期公告的「未發現」並不能當成最終範圍。Cursor 所稱「最多約五千名用戶可能收到惡意組建」，是索取特定快取版本的上限，不是已確認中招或後門安裝成功的人數。官方調查仍可能補充新資料。

結語

這次更新把十月二十九日的市集惡意擴充功能，從「單一被投毒的套件版本」推進到更完整的供應鏈圖景：發予推論供應商的存取金鑰外洩、非私隱模式訓練軌跡中的未遮蓋憑證、周邊軟件即服務被用作橫向移動，再到分發快取被寫入。對開發者與企業而言，可立即執行的是核對官方通知、清理可能受影響的主機與憑證，以及重新檢視第三方訓練與日誌中的密鑰衛生。若機構需要在香港規劃雲端遷移、零信任與供應鏈防護，可參考 YSK Limited 的雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。

參考來源

Cursor 官方網誌《An update on our recent security incident》（2026-11-13）：https://cursor.com/blog/security-incident-update

Cursor 官方安全通知《Security notice — malicious version of Anthropic.claude-code (2.1.312 and 2.1.313) identified in the Cursor VS Code Extension Marketplace》（2026-10-29，並於 2026-10-30 更新妥協指標）：https://cursor.com/blog/claude-code-extension-security-notice

Fireworks 官方安全公告《Update on October 2026 security incident》（2026-11-09）：https://fireworks.ai/security/bulletins/october-2026-security-incident-update

Fireworks 官方安全公告《Fireworks October 2026 security incident》（2026-10-10）：https://fireworks.ai/security/bulletins/october-2026-security-incident