Cursor speicherte alte KI-Coding-Chats fürs Training, Hacker fanden darin Passwörter

Cursor, der KI-Codeeditor auf Basis des Open-Source-Projekts Visual Studio Code von Microsoft, erklärt, der jüngste Sicherheitsvorfall habe an einer Stelle begonnen, an die die meisten Nutzer nie denken: bei alten Coding-Sitzungen, die das Unternehmen zum Training von KI-Modellen aufbewahrt hatte. In einigen dieser gespeicherten Unterhaltungen fanden sich noch Passwörter und API-Schlüssel. Der Angreifer nutzte sie, um tiefer in die Systeme von Cursor vorzudringen, bis er eine manipulierte Kopie der Erweiterung Claude Code von Anthropic in den Erweiterungsmarktplatz des Editors einschleusen konnte.

Genau diese Kette ist entscheidend für alle, die Geheimnisse in einen KI-Assistenten eingeben. Ein Schlüssel verschwindet nicht, wenn eine Sitzung endet, nur weil man ihn in ein Chatfenster getippt hat. Speichert das Tool die Unterhaltung, bleibt das Geheimnis in einem Datensatz erhalten – und wer Zugriff auf diesen Datensatz erhält, bekommt auch den Schlüssel.

Laut dem Vorfallsbericht von Cursor begann das Problem bei Fireworks AI, einem externen Unternehmen, das Cursor für das Modelltraining und die Inferenz nutzte. Ein Angreifer erlangte einen Zugriffsschlüssel, den Cursor für Fireworks ausgestellt hatte und der laut Cursor von Fireworks offengelegt wurde. Damit kopierte er einen schreibgeschützten Speicher-Bucket, den beide Unternehmen gemeinsam nutzten. Darin befanden sich Spuren von Coding-Agenten, überwiegend aus dem Jahr 2025, aus Sitzungen, in denen Nutzer den Datenschutzmodus nicht aktiviert hatten – jene Einstellung, die verhindert, dass Cursor die Daten zum Training verwendet. Cursor zufolge waren die Spuren von weniger als 0,05 Prozent der Nutzer betroffen; bei weniger als 0,01 Prozent der Kunden wurden API-Zugangsdaten offengelegt.

Mit den zurückgebliebenen Zugangsdaten erhielt der Angreifer Zugriff auf mehrere Software-as-a-Service-Tools, die Cursor betreibt. Von dort aus gelangte er an archivierten Quellcode, der nicht für den Produktivbetrieb bestimmt war, an E-Mails des Kundendienstes, Nutzungsmetriken und Kontaktdaten, Zusammenfassungen einiger Unterhaltungen mit KI-Agenten sowie an Zugangsdaten, die Kunden dem Support-Team von Cursor früher mitgeteilt hatten, wie BleepingComputer ausführte. Mit einer der gestohlenen Zugangsdaten ließ sich im Cache hinter Cursors Erweiterungsmarktplatz veröffentlichen.

So gelangte der gefälschte Claude Code in den Marktplatz. Die manipulierten Versionen mit den Nummern 2.1.312 und 2.1.313 waren etwa elf Stunden lang verfügbar. Cursor schätzt, dass bis zu 5.000 Personen, die sie angefordert hatten, möglicherweise die schädliche Version erhielten. Diese führte Code aus, der den SSH-Schlüssel des Angreifers auf dem Computer des Entwicklers installieren und ihm dauerhaft Fernzugriff verschaffen sollte. Cursor betont, dass Anthropic die Kopie nicht veröffentlicht hat, die Schwachstelle nicht in Anthropic-Produkten lag und die Malware nie auf Open VSX zu finden war – dem offenen Marktplatz, aus dem Cursor seine Erweiterungen bezieht.

Der Bericht lässt auch Fragen offen. Cursor hat nicht mitgeteilt, auf wie vielen der 5.000 Computer tatsächlich eine funktionierende Hintertür installiert wurde. Sicherheitsforscher entdeckten Programmierfehler, die den Angriff auf vielen Windows- und macOS-Computern wahrscheinlich verhinderten, sofern SSH dort nicht bereits aktiviert war, berichtet BleepingComputer. Damit waren Rechner mit bereits eingeschaltetem SSH am stärksten gefährdet. Das Unternehmen hat außerdem nicht erklärt, warum Zugangsdaten in den Daten, die es einem Trainingspartner übergab, nicht unkenntlich gemacht worden waren. Genau darin liegt die zentrale Lehre für jedes KI-Coding-Tool, das aus den Eingaben seiner Nutzer lernt. Der Datenschutzmodus schützte alle, die ihn aktiviert hatten; standardmäßig standen die Sitzungen aller anderen jedoch für das Training zur Verfügung.

Cursor ist nicht das einzige Ziel. Das Sicherheitsunternehmen Wiz zählte im Oktober mindestens neun KI-Entwicklerplattformen, die Sicherheitsvorfälle öffentlich machten. Die Welle bezeichnete es als „Black October“: Angreifer suchten nach gespeicherten Schlüsseln, mit denen sich kostenpflichtige KI-Modelle freischalten lassen. Auch Fireworks selbst meldete mehr als einen Sicherheitsvorfall, und Notion erklärte, dass über Fireworks Chatprotokolle aus einer kleinen Zahl von Arbeitsbereichen offengelegt worden seien. Gestohlene Zugänge werden weiterverkauft oder für KI-Nutzung eingesetzt, die dem Opfer in Rechnung gestellt wird. Beim Cloud-Hoster Railway wurden mit gestohlenen Geheimnissen betrügerische KI-Kosten von rund 740.000 US-Dollar verursacht, berichtete BleepingComputer.

Cursor erklärt, den gesamten Inferenzverkehr von Fireworks abgezogen, sämtliche Zugangsdaten in den eigenen internen Systemen erneuert, den Erweiterungsmarktplatz neu aufgebaut und die Produktiv-Infrastruktur erneut bereitgestellt zu haben. Nutzer des Datenschutzmodus, die Cursor-App und die offiziellen Updates waren nicht betroffen; auch wurden keine Signaturschlüssel für Veröffentlichungen offengelegt. Der Dienst funktioniert weltweit gleich, daher gilt der Hinweis überall: Wer am 29. Oktober Claude Code 2.1.312 oder 2.1.313 über den Cursor-Marktplatz installiert oder aktualisiert hat, sollte die vom Unternehmen beschriebenen Maßnahmen zur Behebung des Problems befolgen. Team-Administratoren sollten außerdem die Liste der Schlüssel prüfen, die Cursor ihnen per E-Mail geschickt hat.

Die schädliche Erweiterung ging am 29. Oktober online, Cursor veröffentlichte am 30. Oktober seinen ersten Sicherheitshinweis, und die letzte vom Unternehmen festgestellte Aktivität des Angreifers wurde am 1. November blockiert. Der vollständige Vorfallsbericht folgte am 13. November. Das Unternehmen erklärt, betroffene Kunden direkt zu kontaktieren, falls weitere Erkenntnisse hinzukommen. Für Entwickler gilt eine einfachere Sicherheitsannahme als jeder Patch: Ein Passwort, das in einen KI-Chat eingefügt wurde, sollte so behandelt werden, als wäre es bereits anderswo notiert worden.

Schlagwörter: Anthropic, Cybersicherheit, Datenleck, Claude Code, Cursor, KI-Programmierwerkzeuge