Cursor công bố kết quả điều tra vụ lộ khóa Fireworks

Sau hai tuần điều tra, Cursor vừa công bố bức tranh đầy đủ về sự cố bảo mật khiến cộng đồng lập trình viên xôn xao cuối tháng 10. Kẻ tấn công không đột nhập trực tiếp vào hệ thống của Cursor, mà đi qua một mắt xích ít ai để ý: nhà cung cấp AI Fireworks. Từ một khóa truy cập bị lộ, vụ việc leo thang thành chiến dịch phát tán extension độc hại, chạm tới tối đa 5.000 người dùng chỉ trong một ngày.

Mọi chuyện bắt đầu từ một khóa truy cập bị lộ

Theo Cursor, kẻ tấn công có được một khóa truy cập mà hãng đã cấp cho Fireworks, nhà cung cấp dịch vụ huấn luyện và suy luận AI của công ty. Khóa này bị Fireworks làm lộ, và kẻ tấn công dùng nó để sao chép dữ liệu từ một bucket lưu trữ chỉ đọc mà Cursor dùng để chia sẻ dữ liệu với đối tác.

Bucket này chứa một lượng hạn chế các trace của coding agent, chủ yếu từ các phiên làm việc trong năm 2025 không bật Privacy Mode, vốn là dữ liệu Cursor được phép dùng để huấn luyện mô hình. Một số ít trace chứa thông tin đăng nhập chưa được che giấu, khiến dưới 0,01% khách hàng bị lộ API credentials.

Từ đó, kẻ tấn công tiếp cận một số công cụ SaaS của Cursor và lấy được một phần mã nguồn lưu trữ không dùng cho production, dữ liệu hỗ trợ khách hàng và tóm tắt một số cuộc trò chuyện với coding agent.

Fireworks sau đó cũng xác nhận một nhà cung cấp đám mây thứ ba lưu trữ máy nghiên cứu của họ đã gặp sự cố ngày 23/10. Cùng nhà cung cấp này đứng sau vụ lộ đoạn chat Notion AI trong tuần, cho thấy rủi ro nằm ở mắt xích thứ ba trong chuỗi cung ứng AI.

Extension Claude Code giả mạo phát tán trong 11 giờ

Điểm nghiêm trọng nhất xảy ra vào ngày 29/10. Kẻ tấn công dùng thông tin đăng nhập đánh cắp được để đưa các bản sao độc hại, không được ủy quyền của extension Claude Code của Anthropic lên thẳng bộ nhớ đệm phục vụ marketplace extension VS Code của Cursor.

Người dùng yêu cầu đúng các phiên bản bị đưa lên cache trong ngày hôm đó có thể đã nhận bản độc hại — Cursor ước tính tối đa 5.000 người. Bản độc hại tồn tại khoảng 11 giờ trước khi bị gỡ xuống, và Cursor sau đó đã đưa toàn bộ marketplace extension xuống, đồng thời kiểm tra lại và xây dựng lại marketplace.

Cursor nhấn mạnh Anthropic không phát hành bản sao này, đây không phải lỗ hổng của Anthropic, và nguồn marketplace gốc Open VSX cũng không chứa mã độc. Chỉ những ai cài đặt hoặc cập nhật đúng hai phiên bản Anthropic.claude-code 2.1.312 và 2.1.313 từ marketplace của Cursor trong khung thời gian phơi nhiễm mới nằm trong diện cần xử lý.

Ai bị ảnh hưởng và ai vẫn an toàn

Với người dùng không bật Privacy Mode, trace bị lộ ở dưới 0,05% người dùng, và Cursor cho biết đã liên hệ trực tiếp từng người trong số đó. Ai không nhận được thông báo thì dữ liệu của họ không nằm trong số trace bị lộ.

Ngược lại, prompt và mã nguồn của người dùng bật Privacy Mode vẫn an toàn, dữ liệu và lưu lượng đang gửi tới Cursor cũng vậy, vì dữ liệu bị lộ chỉ nằm trong kho lưu trữ phục vụ phân tích offline. Hệ thống production, các bản cập nhật chính thức, khóa ký phát hành, kho mã nguồn của khách hàng và các extension khác trong marketplace đều không bị chạm tới.

Ngày 30/10, Cursor đăng thông báo bảo mật trên blog và X, kèm chỉ dấu xâm nhập, các bước khắc phục và script để người dùng tự kiểm tra hệ thống. Với các khóa API bị lộ, hãng gửi cho quản trị viên danh sách từng khóa cần xoay vòng và yêu cầu các dịch vụ bên thứ ba thu hồi chúng.

Người dùng Cursor cần kiểm tra gì ngay

Việc đầu tiên là kiểm tra xem bạn có cài đặt hoặc cập nhật extension Anthropic.claude-code phiên bản 2.1.312 hay 2.1.313 từ marketplace của Cursor trong ngày 29/10 hay không. Nếu có, hãy làm theo đúng các bước trong thông báo bảo mật Cursor đăng ngày 30/10. Hãng lưu ý chỉ gỡ extension thôi có thể chưa đủ, vì vậy đừng bỏ qua các bước kiểm tra và dọn dẹp còn lại.

Tiếp theo, kiểm tra hộp thư và thông báo trong ứng dụng xem Cursor có liên hệ trực tiếp với bạn không. Không nhận được thông báo nào thì khả năng cao bạn không bị ảnh hưởng, nhưng vẫn nên kiểm tra phiên bản extension.

Về lâu dài, bật Privacy Mode là cách đơn giản nhất để dữ liệu làm việc của bạn không rơi vào diện được phép dùng cho huấn luyện mô hình — chính ranh giới này đã bảo vệ toàn bộ prompt và mã nguồn của người dùng trong vụ việc. Ngoài ra, hãy xoay vòng bất kỳ API key nào bạn từng gửi cho đội hỗ trợ của Cursor.

Cursor đã khắc phục sự cố ra sao

Cursor đã chuyển toàn bộ lưu lượng suy luận ra khỏi Fireworks, vô hiệu hóa khóa đã cấp và cắt quyền truy cập của họ vào mọi tập dữ liệu từng chia sẻ. Mọi thông tin đăng nhập bị lộ đều đã được xoay vòng theo thứ tự rủi ro cao trước, và để phòng ngừa, hãng còn xoay vòng toàn bộ thông tin đăng nhập trong hệ thống nội bộ.

Hãng cũng xác minh tính xác thực của mọi extension còn lại, xây dựng lại toàn bộ marketplace, siết chặt giới hạn truy cập mạng, bổ sung quét secret trên kho mã nguồn và triển khai lại toàn bộ hạ tầng production sau khi rà soát từng dịch vụ. Hãng thuê thêm chuyên gia pháp y bên ngoài hỗ trợ điều tra.

Hoạt động tấn công cuối cùng mà Cursor quan sát được diễn ra ngày 1/11 và đã bị chặn. Hãng khẳng định sự cố đã được kiểm soát và tiếp tục giám sát hệ thống để phát hiện hoạt động bất thường.

Đặt cạnh vụ lộ đoạn chat Notion AI trong cùng tuần, vụ việc của Cursor cho thấy dữ liệu của bạn không chỉ nằm trong tay công ty bạn trả tiền, mà còn đi qua các nhà cung cấp phía sau họ. Một khóa truy cập bị lộ ở tầng đó đủ để mở ra cả chuỗi tấn công, từ đánh cắp dữ liệu tới phát tán mã độc cho hàng nghìn người dùng. Với người dùng Cursor, việc cần làm lúc này rất cụ thể: kiểm tra phiên bản extension đã cài, làm theo hướng dẫn khắc phục của hãng và bật Privacy Mode nếu chưa bật.

Bài liên quan: Notion xác nhận lộ đoạn chat AI sau vụ hack nhà cung cấp (đăng ngày 13/11).

Nguồn tham khảo: Cursor.