Cursor guardó chats de programación para entrenar su IA y los hackers encontraron contraseñas

Cursor, el editor de código con IA basado en Visual Studio Code, el proyecto de código abierto de Microsoft, afirma que la reciente brecha comenzó en un lugar en el que la mayoría de los usuarios nunca piensa: antiguas sesiones de programación que la empresa conservaba para entrenar modelos de IA. Algunas de esas conversaciones guardadas aún contenían contraseñas y claves de API. El atacante las utilizó para adentrarse en los sistemas de Cursor hasta conseguir introducir una copia con una puerta trasera de la extensión Claude Code, de Anthropic, en el propio mercado de extensiones del editor.

Esta cadena de acontecimientos es lo importante para cualquiera que pegue un secreto en un asistente de IA. Una clave escrita en una ventana de chat no desaparece cuando termina la sesión. Si la herramienta guarda la conversación, el secreto permanece en un conjunto de datos, y quien consiga acceder a ese conjunto también obtiene la clave.

Según el informe del incidente de Cursor, el problema comenzó en Fireworks AI, una empresa externa que Cursor utilizaba para el entrenamiento y la inferencia de modelos. Un atacante obtuvo una clave de acceso que Cursor había facilitado a Fireworks y que, según Cursor, Fireworks dejó expuesta; después, la usó para copiar un bucket de almacenamiento de solo lectura que compartían ambas empresas. En él había trazas de agentes de programación, en su mayoría de 2025, procedentes de sesiones en las que los usuarios no habían activado Privacy Mode, la opción que impide que Cursor utilice sus datos para entrenar modelos. Cursor afirma que quedaron expuestas las trazas de menos del 0,05 % de los usuarios y que las credenciales de API de menos del 0,01 % de los clientes se vieron comprometidas.

Esas credenciales olvidadas permitieron acceder a varias de las herramientas de software como servicio que utiliza Cursor. Desde allí, el atacante llegó a código fuente archivado de entornos no productivos, correos electrónicos del servicio de atención al cliente, métricas de uso y datos de contacto, resúmenes de algunas conversaciones con agentes de IA y credenciales que algunos clientes habían compartido tiempo atrás con el equipo de soporte de Cursor, según detalla BleepingComputer. Una de las credenciales robadas permitía publicar contenido en la caché que hay detrás del mercado de extensiones de Cursor.

Así llegó el Claude Code falso. Las versiones manipuladas, numeradas 2.1.312 y 2.1.313, estuvieron disponibles durante unas 11 horas, y Cursor calcula que hasta 5.000 personas que las solicitaron podrían haber recibido la versión maliciosa. Esta ejecutaba código que intentaba instalar la clave SSH del atacante y mantener el acceso remoto al ordenador del desarrollador. Cursor recalca que Anthropic no publicó esa copia, que el fallo no estaba en el producto de Anthropic y que Open VSX, el mercado abierto del que Cursor obtiene sus extensiones, nunca distribuyó el malware.

El informe también deja preguntas sin responder. Cursor no ha dicho cuántos de esos 5.000 equipos acabaron con una puerta trasera operativa. Según BleepingComputer, los investigadores de seguridad encontraron errores de código que probablemente impidieron que funcionara en muchos ordenadores con Windows y macOS en los que SSH no estaba ya activado, por lo que los equipos que sí lo tenían habilitado fueron los más expuestos. La empresa tampoco ha explicado por qué las credenciales seguían sin ocultarse en los datos que entregó a un socio de entrenamiento, la verdadera lección para cualquier herramienta de programación con IA que aprende de sus usuarios. Privacy Mode protegió a quienes lo activaron, pero la configuración predeterminada dejó disponibles para el entrenamiento las sesiones del resto.

Cursor no es el único objetivo. La empresa de seguridad Wiz contabilizó al menos nueve plataformas de desarrollo con IA que comunicaron incidentes en octubre, en una oleada a la que llama Black October, en la que los atacantes buscaban claves guardadas que permiten acceder a modelos de IA de pago. Fireworks también comunicó más de una brecha, y Notion afirmó que, a través de ese servicio, quedaron expuestas transcripciones de chats de IA de un pequeño número de espacios de trabajo. Los accesos robados se revenden o se utilizan para consumir servicios de IA que luego se cobran a la víctima. En Railway, un proveedor de alojamiento en la nube, se emplearon secretos robados para generar unos 740.000 dólares en cargos fraudulentos por el uso de IA, según informó BleepingComputer.

Cursor afirma que ha trasladado todo el tráfico de inferencia fuera de Fireworks, ha cambiado todas las credenciales de sus sistemas internos, ha reconstruido su mercado de extensiones y ha vuelto a desplegar su infraestructura de producción. Los usuarios de Privacy Mode, la aplicación de Cursor y sus actualizaciones oficiales no se vieron afectados, y no se expuso ninguna clave de firma de versiones. El servicio funciona igual en todo el mundo, así que las recomendaciones son las mismas en cualquier mercado: quienes instalaron o actualizaron Claude Code a la versión 2.1.312 o 2.1.313 desde el mercado de Cursor el 29 de octubre deben seguir las instrucciones de la empresa para solucionar el problema; los administradores de equipos deberían comprobar la lista de claves que Cursor les envió por correo electrónico.

La extensión maliciosa se publicó el 29 de octubre, Cursor difundió su primera alerta de seguridad el 30 de octubre y la última actividad del atacante que detectó la empresa quedó bloqueada el 1 de noviembre. El informe completo del incidente llegó el 13 de noviembre, y la empresa afirma que se pondrá en contacto directamente con los clientes afectados si descubre algo más. Para los desarrolladores, la premisa más segura es más sencilla que cualquier parche: hay que dar por hecho que una contraseña pegada en un chat de IA ya ha quedado anotada en algún otro sitio.

Etiquetas: ciberseguridad, Anthropic, Claude Code, brecha de datos, Cursor, programación con IA