Cursor guardó chats de programación para entrenar su IA y hackers encontraron contraseñas

Cursor, el editor de código con IA basado en Visual Studio Code, el proyecto de código abierto de Microsoft, afirma que la reciente brecha de seguridad comenzó en un lugar en el que casi ningún usuario piensa: antiguas sesiones de programación que la empresa conservaba para entrenar modelos de IA. Algunas de esas conversaciones guardadas todavía contenían contraseñas y claves de API. El atacante las usó para infiltrarse cada vez más en los sistemas de Cursor, hasta que logró introducir en la tienda de extensiones del propio editor una copia con una puerta trasera de la extensión Claude Code, de Anthropic.

Esta cadena de acontecimientos es lo que importa para cualquiera que pegue un secreto en un asistente de IA. Una clave escrita en una ventana de chat no desaparece cuando termina la sesión. Si la herramienta guarda la conversación, el secreto permanece en un conjunto de datos, y quienquiera que acceda a ese conjunto también obtiene la clave.

Según el informe del incidente de Cursor, el problema comenzó en Fireworks AI, una empresa externa que Cursor utilizaba para entrenar modelos y ejecutar inferencias. Un atacante obtuvo una clave de acceso que Cursor había emitido para Fireworks y que, según Cursor, Fireworks dejó expuesta; después, la usó para copiar un depósito de almacenamiento de solo lectura que compartían ambas empresas. Allí había rastros de agentes de programación, en su mayoría de 2025, procedentes de sesiones en las que los usuarios no habían activado Privacy Mode, la opción que impide que Cursor use sus datos para entrenar modelos. Cursor afirma que quedaron expuestos rastros de menos del 0,05 % de sus usuarios y que las credenciales de API de menos del 0,01 % de sus clientes se vieron comprometidas.

Esas credenciales olvidadas permitieron acceder a varias de las herramientas de software como servicio que utiliza Cursor. Desde allí, el atacante llegó a código fuente archivado que no estaba en producción, correos electrónicos de atención al cliente, métricas de uso y datos de contacto, resúmenes de algunas conversaciones con agentes de IA y credenciales que los clientes habían compartido anteriormente con el equipo de soporte de Cursor, según detalló BleepingComputer. Una de las credenciales robadas permitía publicar contenido en la caché que está detrás de la tienda de extensiones de Cursor.

Así fue como apareció el Claude Code falso. Las versiones manipuladas, con los números 2.1.312 y 2.1.313, estuvieron disponibles durante unas 11 horas, y Cursor calcula que hasta 5.000 personas que las solicitaron pudieron haber recibido la versión maliciosa. Esta ejecutaba código que intentaba instalar la clave SSH del atacante y mantener el acceso remoto a la computadora del desarrollador. Cursor subraya que Anthropic no publicó esa copia, que la falla no estaba en el producto de Anthropic y que Open VSX, la tienda abierta de la que Cursor obtiene sus extensiones, nunca distribuyó el malware.

El informe también deja preguntas sin responder. Cursor no ha dicho cuántas de esas 5.000 computadoras terminaron realmente con una puerta trasera funcional. Según BleepingComputer, investigadores de seguridad encontraron errores de programación que probablemente impidieron que funcionara en muchas computadoras con Windows y macOS donde SSH no estaba activado de antemano; por eso, las más expuestas serían las que ya tenían SSH habilitado. La empresa tampoco ha explicado por qué las credenciales permanecían sin ocultar en los datos que entregó a un socio de entrenamiento, una cuestión que representa la verdadera lección para todas las herramientas de programación con IA que aprenden de sus usuarios. Privacy Mode protegió a quienes lo activaron, pero la configuración predeterminada dejó las sesiones de los demás disponibles para el entrenamiento.

Cursor no fue el único objetivo. La empresa de seguridad Wiz contabilizó al menos nueve plataformas de desarrollo con IA que revelaron incidentes en octubre, en una ola que denomina Black October, durante la cual los atacantes buscaron claves guardadas que permiten acceder a modelos de IA de pago. La propia Fireworks reveló más de una brecha, y Notion informó que, a través de Fireworks, quedaron expuestas transcripciones de chats de IA de una pequeña cantidad de espacios de trabajo. Los accesos robados se revenden o se usan para consumir servicios de IA que luego se cobran a la víctima. En Railway, un proveedor de alojamiento en la nube, se utilizaron secretos robados para generar cerca de 740.000 dólares en cargos fraudulentos por IA, informó BleepingComputer.

Cursor afirma que trasladó todo el tráfico de inferencia fuera de Fireworks, rotó todas las credenciales de sus sistemas internos, reconstruyó su tienda de extensiones y volvió a desplegar su infraestructura de producción. Los usuarios de Privacy Mode, la aplicación de Cursor y sus actualizaciones oficiales no se vieron afectados, y no quedaron expuestas claves de firma de versiones. El servicio funciona igual en todo el mundo, así que la recomendación aplica en cualquier mercado: quienes hayan instalado o actualizado Claude Code 2.1.312 o 2.1.313 desde la tienda de Cursor el 29 de octubre deben seguir los pasos de remediación de la empresa, y los administradores de equipos deben revisar la lista de claves que Cursor les envió por correo electrónico.

La extensión maliciosa apareció el 29 de octubre, Cursor publicó su primer aviso de seguridad el 30 de octubre y la última actividad del atacante que detectó la empresa fue bloqueada el 1 de noviembre. El informe completo del incidente se publicó el 13 de noviembre, y la empresa afirma que se comunicará directamente con los clientes afectados si descubre algo más. Para los desarrolladores, la precaución más segura es más sencilla que cualquier parche: hay que tratar una contraseña pegada en un chat de IA como si ya estuviera anotada en otro lugar.

Etiquetas: Anthropic, ciberseguridad, Claude Code, filtración de datos, Cursor, programación con IA