Cursor guardou chats de programação para treinar IA, e hackers acharam senhas dentro deles

Cursor, editor de código com IA desenvolvido a partir do Visual Studio Code, da Microsoft, que é de código aberto, diz que a invasão recente começou em um lugar em que a maioria dos usuários nem pensa: sessões antigas de programação que a empresa guardava para treinar modelos de IA. Algumas dessas conversas armazenadas ainda continham senhas e chaves de API. O invasor usou esses dados para avançar pelos sistemas da Cursor até conseguir inserir uma cópia adulterada da extensão Claude Code, da Anthropic, no próprio marketplace de extensões do editor.

Essa cadeia de eventos é o que importa para qualquer pessoa que cole um segredo em um assistente de IA. Uma chave digitada em uma janela de conversa não desaparece quando a sessão termina. Se a ferramenta armazena a conversa, o segredo continua em um conjunto de dados — e quem conseguir acessar esse conjunto também terá acesso à chave.

De acordo com o relatório de incidente da Cursor, o problema começou na Fireworks AI, empresa externa que a Cursor usava para treinamento e inferência de modelos. Um invasor obteve uma chave de acesso que a Cursor havia fornecido à Fireworks e que, segundo a Cursor, foi exposta pela Fireworks. Com ela, copiou um bucket de armazenamento somente leitura compartilhado pelas duas empresas. Nele havia registros de agentes de programação, em sua maioria de 2025, de sessões em que os usuários não haviam ativado o Privacy Mode, configuração que impede a Cursor de usar os dados para treinamento. A Cursor afirma que os registros de menos de 0,05% dos usuários foram expostos e que as credenciais de API de menos de 0,01% dos clientes foram comprometidas.

Essas credenciais esquecidas abriram as portas para várias ferramentas de software como serviço usadas pela Cursor. A partir daí, o invasor teve acesso a código-fonte arquivado, que não era de produção, e-mails da equipe de suporte, métricas de uso e dados de contato, resumos de algumas conversas com agentes de IA e credenciais que clientes haviam compartilhado com a equipe de suporte da Cursor, como detalhou o BleepingComputer. Uma das credenciais roubadas permitia publicar conteúdo no cache por trás do marketplace de extensões da Cursor.

Foi assim que a falsa Claude Code chegou ao marketplace. As versões adulteradas, de números 2.1.312 e 2.1.313, ficaram disponíveis por cerca de 11 horas. A Cursor estima que até 5.000 pessoas que solicitaram essas versões possam ter recebido a compilação maliciosa. Ela executava código que tentava instalar a chave SSH do invasor e manter o acesso remoto ao computador do desenvolvedor. A Cursor ressalta que a Anthropic não publicou a cópia, que a falha não estava no produto da Anthropic e que o Open VSX, marketplace aberto de onde a Cursor obtém suas extensões, nunca distribuiu o malware.

O relatório também deixa perguntas sem resposta. A Cursor não informou quantos desses 5.000 computadores realmente acabaram com uma backdoor funcional. Pesquisadores de segurança encontraram erros de programação que provavelmente impediram a execução em muitos computadores com Windows e macOS nos quais o SSH não estava ativado, segundo o BleepingComputer. Isso deixa mais expostos os computadores que já estavam com o SSH ativado. A empresa também não explicou por que as credenciais não foram ocultadas nos dados que entregou a uma parceira de treinamento — a verdadeira lição para toda ferramenta de programação com IA que aprende com seus usuários. O Privacy Mode protegeu quem o ativou, mas, por padrão, as sessões de todos os outros usuários ficavam disponíveis para treinamento.

A Cursor não foi o único alvo. A empresa de segurança Wiz contabilizou pelo menos nove plataformas de desenvolvimento com IA que divulgaram incidentes em outubro, em uma onda que chama de Black October, na qual invasores procuram chaves armazenadas que dão acesso a modelos de IA pagos. A própria Fireworks divulgou mais de uma invasão, e a Notion disse que transcrições de conversas com IA de um pequeno número de espaços de trabalho foram expostas por meio dela. O acesso roubado é revendido ou usado para gerar cobranças pelo uso de IA na conta da vítima. Na Railway, empresa de hospedagem em nuvem, segredos roubados foram usados para acumular cerca de US$ 740 mil em cobranças fraudulentas de IA, informou o BleepingComputer.

A Cursor afirma que transferiu todo o tráfego de inferência para fora da Fireworks, substituiu todas as credenciais de seus sistemas internos, reconstruiu seu marketplace de extensões e implantou novamente sua infraestrutura de produção. Usuários do Privacy Mode, o aplicativo Cursor e suas atualizações oficiais não foram afetados, e nenhuma chave de assinatura de lançamentos foi exposta. O serviço funciona da mesma forma no mundo todo, então a recomendação vale para todos os mercados: quem instalou ou atualizou para o Claude Code 2.1.312 ou 2.1.313 pelo marketplace da Cursor em 29 de outubro deve seguir as etapas de correção indicadas pela empresa, e os administradores de equipes devem conferir a lista de chaves que a Cursor enviou por e-mail.

A extensão maliciosa entrou no ar em 29 de outubro, a Cursor publicou seu primeiro aviso de segurança em 30 de outubro, e a última atividade do invasor detectada pela empresa foi bloqueada em 1º de novembro. O relatório completo do incidente foi divulgado em 13 de novembro, e a empresa diz que entrará em contato diretamente com os clientes afetados se descobrir mais alguma coisa. Para desenvolvedores, a precaução mais segura é mais simples do que qualquer correção: uma senha colada em uma conversa com uma IA deve ser tratada como se já tivesse sido anotada em outro lugar.

Tags: Anthropic, cibersegurança, vazamento de dados, Claude Code, Cursor, programação com IA