Cursor ha publicado el resultado de su investigación sobre el incidente de seguridad que llevó a la aparición, el 29 de octubre de 2026, de copias maliciosas de la extensión de Claude Code en su mercado de extensiones. Según el informe, fechado el 13 de noviembre, todo empezó con una clave de acceso que Cursor había emitido para Fireworks AI, su proveedor externo de entrenamiento e inferencia de modelos, y que quedó expuesta por parte de Fireworks. A partir de ahí, el atacante encadenó credenciales hasta poder publicar la extensión falsa.
Las claves de la brecha de Cursor en 30 segundos
- El ataque empezó con una clave de Cursor expuesta en Fireworks AI.
- El atacante copió trazas antiguas del agente y encontró credenciales sin ocultar.
- Con ellas entró en herramientas SaaS de Cursor y publicó la extensión falsa de Claude Code.
- Hasta 5.000 usuarios pudieron recibirla; menos del 0,01 % de clientes tuvo credenciales de API expuestas.
- La producción, la app oficial y el código de los clientes no se vieron afectados, según Cursor.
Cuando la extensión apareció, contamos cómo instalaba puertas traseras SSH. Lo que faltaba era saber cómo había llegado el atacante hasta ahí, y la respuesta es un ejemplo de manual de ataque a la cadena de suministro a través de un tercero.
De Fireworks a la extensión: la cadena del ataque
Con la clave expuesta, el atacante copió datos de un bucket de almacenamiento de solo lectura que Cursor usaba para compartir información con Fireworks. Contenía un número limitado de trazas del agente de programación, en su mayoría de 2025, procedentes de sesiones de usuarios que no tenían activado el Modo de privacidad y que Cursor tenía permiso para usar en el entrenamiento de modelos. Unas pocas de esas trazas incluían credenciales que no se habían ocultado.
Con esas credenciales, el atacante llegó a varias herramientas SaaS que usa Cursor. Desde ellas accedió a repositorios archivados de código que no eran de producción, algunos con datos de contacto empresariales, a información limitada de atención al cliente y correos, a métricas de uso y datos de contacto, a resúmenes de algunas conversaciones con el agente y a credenciales que los propios usuarios habían enviado al soporte de Cursor. Y en los datos de un sistema interno encontró la credencial que le permitió, el 29 de octubre, colocar las copias maliciosas de la extensión directamente en la caché desde la que se sirve el mercado de extensiones de VS Code de Cursor.
Cursor subraya que Anthropic no publicó esa copia y que no se trató de una vulnerabilidad de su producto, y que Open VSX, la fuente de su mercado de extensiones, nunca contuvo el malware. Las versiones manipuladas fueron la 2.1.312 y la 2.1.313 de Anthropic.claude-code, estuvieron disponibles unas 11 horas y pudieron llegar como máximo a 5.000 usuarios que pidieron esas versiones. Según BleepingComputer, los investigadores encontraron errores en el código malicioso que probablemente impidieron que la puerta trasera funcionara en muchos Windows y macOS donde SSH no estaba ya activado.
Qué se vio afectado y qué no
Cursor cifra el impacto en tres datos: menos del 0,05 % de los usuarios sin Modo de privacidad tuvo trazas del agente expuestas, menos del 0,01 % de los clientes tuvo credenciales de API expuestas y hasta 5.000 usuarios pudieron recibir la extensión maliciosa. La compañía asegura que ha avisado directamente a cada afectado y que, si no se ha recibido notificación, los datos propios no estaban en esas trazas.
Según el informe, no se vieron afectados los prompts y el código de quienes usan el Modo de privacidad, el tráfico en tiempo real, los sistemas e infraestructura de producción, la aplicación de Cursor y sus actualizaciones oficiales (que se distribuyen desde un sistema de alojamiento de código independiente, sin que se expusiera ninguna clave de firma), el resto de extensiones del mercado, los plugins del Marketplace de Cursor y los repositorios de código de los clientes. La última actividad del atacante detectada fue el 1 de noviembre y fue bloqueada, por lo que Cursor considera el incidente contenido.
El caso de Cursor no es aislado. BleepingComputer lo encuadra en la ola de ataques contra plataformas de desarrollo con IA que la empresa de seguridad Wiz ha bautizado como «Black October», con víctimas como Railway, Northflank, Lightning AI, OpenCode, Warp y la propia Fireworks AI.
Qué ha hecho Cursor y qué deben hacer los usuarios
Cursor ha sacado toda su inferencia de Fireworks y le ha retirado el acceso a los datos compartidos, ha rotado todas las credenciales expuestas y, por precaución, todas las de sus sistemas internos, ha reconstruido su mercado de extensiones tras verificar el resto, ha restringido el uso de credenciales a ubicaciones de red concretas cuando ha sido posible, ha añadido escaneo de secretos en sus repositorios, ha vuelto a desplegar toda la infraestructura de producción y ha contratado a expertos forenses externos.
Para los usuarios, lo importante es esto:
- Si se instaló o actualizó a las versiones 2.1.312 o 2.1.313 de la extensión de Claude Code desde el mercado de Cursor el 29 de octubre, hay que seguir el aviso de seguridad de Cursor, que incluye indicadores de compromiso y scripts de comprobación. La empresa advierte de que desinstalar la extensión puede no ser suficiente.
- Revisar
~/.ssh/authorized_keysy el estado del servicio SSH en los equipos afectados, ya que el malware intentaba añadir una clave del atacante y activar el acceso. - Rotar las claves que Cursor haya comunicado a los administradores de equipo y cualquier credencial que se hubiera compartido con su soporte.
- Activar el Modo de privacidad si no se quiere que las sesiones puedan usarse para entrenamiento, y no pegar nunca secretos en el chat de un agente ni en tickets de soporte.
La lección de fondo afecta a cualquier empresa que comparta datos con proveedores de IA: las trazas de un agente de programación pueden contener credenciales, y un conjunto de datos aparentemente inocuo para entrenamiento puede convertirse en la llave de toda la infraestructura. Ya vimos algo parecido con las contraseñas que Claude Code dejaba en GitHub.
Preguntas frecuentes
¿Cómo empezó el ataque a Cursor?
Con una clave de acceso que Cursor había emitido para Fireworks AI y que quedó expuesta por parte de ese proveedor, según el informe de Cursor.
¿Qué versiones de la extensión de Claude Code eran maliciosas?
Las 2.1.312 y 2.1.313 servidas desde el mercado de extensiones de Cursor el 29 de octubre de 2026, durante unas 11 horas.
¿Se vio afectado mi código?
Según Cursor, no se accedió a los repositorios de código de los clientes ni a los prompts y el código de quienes usan el Modo de privacidad.
¿Basta con desinstalar la extensión?
No necesariamente. Cursor pide seguir los pasos de su aviso de seguridad, porque el malware intentaba dejar una puerta trasera SSH persistente.
Fuentes:
