Cursor xác nhận bị tấn công, tiện ích Claude Code độc hại lọt lên marketplace

Cursor xác nhận bị xâm nhập qua khóa của Fireworks AI, khiến tiện ích Claude Code độc hại lọt lên marketplace và đe dọa tới 5,000 lập trình viên.

Khởi đầu từ khóa truy cập trên Fireworks AI

Cursor vừa xác nhận đã bị xâm nhập, theo báo cáo sự cố công bố hôm thứ Sáu. Kẻ tấn công lấy được một khóa truy cập lưu trên Fireworks AI, nhà cung cấp hạ tầng huấn luyện và suy luận (inference) mô hình AI mà Cursor sử dụng. Cursor là trình soạn thảo mã tích hợp AI, xây dựng trên Visual Studio Code (VS Code) mã nguồn mở của Microsoft.

Với khóa này, hacker sao chép dữ liệu từ một bucket lưu trữ chỉ đọc mà Cursor dùng để chia sẻ thông tin với Fireworks. Bucket chứa các trace (dấu vết hoạt động) của AI coding agent, phần lớn từ năm 2025, thu thập từ người dùng chưa bật Privacy Mode. Một số trace còn chứa API credentials chưa được che, nên kẻ tấn công dùng chúng để vào thêm các hệ thống khác của Cursor.

Theo Cursor, dưới 0.05% người dùng bị lộ trace của coding agent, còn dưới 0.01% khách hàng bị lộ API credentials. Từ các công cụ SaaS của công ty, hacker lấy được kho mã nguồn lưu trữ không thuộc môi trường production (một số có thông tin liên hệ doanh nghiệp), một phần dữ liệu hỗ trợ khách hàng cùng email trao đổi, số liệu sử dụng sản phẩm, thông tin liên hệ khách hàng, bản tóm tắt một số cuộc trò chuyện với coding agent và các credentials mà khách từng gửi cho đội hỗ trợ.

Tiện ích Claude Code giả mạo trên marketplace

Hệ thống giám sát của Cursor đã phát hiện hoạt động trái phép. Công ty thu hồi khóa Fireworks, xoay vòng (rotate) các credentials bị lộ, đồng thời tạm tắt một số dịch vụ nội bộ và sản phẩm để phòng ngừa. Tuy vậy, kẻ tấn công đã kịp nắm một credential cho phép phát hành tiện ích lên marketplace của Cursor.

Ngày 29/10, hacker dùng credential bị đánh cắp để đặt các bản sao trái phép của tiện ích Claude Code (của Anthropic) thẳng vào bộ nhớ đệm (cache) phục vụ marketplace tiện ích VS Code của Cursor. Tiện ích gốc của Anthropic và Open VSX, marketplace mà Cursor sử dụng, đều không bị xâm phạm.

Hai phiên bản độc hại 2.1.312 và 2.1.313 tồn tại khoảng 11 giờ trước khi Cursor gỡ bỏ. Theo BleepingComputer, chúng được sửa để chạy mã JavaScript độc hại nhằm cài backdoor SSH bền vững. Mã độc thu thập thông tin hệ thống, cài một khóa SSH do kẻ tấn công kiểm soát, cố bật SSH rồi thiết lập cơ chế duy trì truy cập từ xa. Các nhà nghiên cứu bảo mật cho biết lỗi lập trình có thể khiến backdoor không hoạt động trên nhiều máy Windows và macOS chưa bật SSH sẵn.

Cursor ước tính tối đa 5,000 người dùng đã tải các phiên bản bị ảnh hưởng trong khoảng thời gian trên. Hạ tầng production, bản phát hành chính thức của ứng dụng, kho mã của khách hàng cũng như mã và prompt của người dùng bật Privacy Mode đều không bị tác động. Công ty cho biết đã chuyển toàn bộ lưu lượng inference khỏi Fireworks, xoay vòng credentials, dựng lại marketplace tiện ích và triển khai lại hạ tầng production. Người dùng từng cài hoặc cập nhật tiện ích Claude Code trong đợt tấn công nên làm theo hướng dẫn khắc phục của Cursor.

Nằm trong chuỗi "Black October"

Công ty an ninh mạng Wiz gọi đợt tấn công này là một phần của "Black October", làn sóng nhắm vào nền tảng dành cho lập trình viên AI. Mục tiêu chính là hạ tầng phát triển để lấy thông tin xác thực, nhất là loại cấp quyền truy cập mô hình AI. Credentials bị đánh cắp được dùng để chạy inference trái phép, gây ra khoản phí lớn cho nạn nhân. Một số vụ còn liên quan đến nỗ lực chưng cất mô hình AI (model distillation).

Nhiều công ty đã bị ảnh hưởng, gồm Railway, Northflank, Lightning AI, OpenCode và Warp. Tại Railway, kẻ tấn công lấy khóa xác thực của khách hàng rồi tạo ra khoảng 740,000 USD phí AI gian lận. OpenCode cũng báo cáo lộ API keys và việc dùng AI trái phép.

Bản thân Fireworks AI cũng công bố nhiều vụ xâm phạm trong tháng 10. Một vụ liên quan đến API keys và token bị lộ, vụ khác là kẻ tấn công vào máy phát triển thông qua một nhà cung cấp đám mây bên thứ ba bị chiếm quyền. Các sự cố này còn ảnh hưởng đến khách hàng của Fireworks như Notion, công ty mới thông báo bản ghi trò chuyện AI của một số ít workspace đã bị lộ.

Nguồn: BleepingComputer

Kiểm duyệt bởi: Hero Association