Des identifiants Fireworks AI dérobés servent à diffuser une extension Claude Code malveillante sur Cursor (2026)

Le 13 novembre 2026, Cursor — l'entreprise de San Francisco à l'origine de l'éditeur de code assisté par IA du même nom — a confirmé que des attaquants avaient utilisé des identifiants dérobés à son fournisseur de modèles d'IA Fireworks AI pour compromettre ses systèmes et diffuser brièvement une version piégée de l'extension Claude Code d'Anthropic via la propre place de marché d'extensions VS Code de Cursor. L'incident s'inscrit dans une vague plus large d'attaques contre des plateformes de développement d'IA que les chercheurs ont baptisée « Black October », au cours de laquelle plusieurs compromissions de Fireworks AI se sont propagées à des clients en aval.

Le déroulement de l'attaque

Les attaquants ont d'abord obtenu une clé d'accès stockée chez Fireworks AI et s'en sont servis pour copier des données d'un compartiment de stockage en lecture seule que Cursor utilisait pour partager des informations avec le fournisseur. Ce compartiment contenait des traces historiques d'agents de codage par IA, datant pour l'essentiel de 2025, collectées auprès d'utilisateurs n'ayant pas activé le mode Confidentialité ; certaines de ces traces renfermaient des identifiants d'API non expurgés, qui ont donné aux attaquants accès à d'autres systèmes de Cursor. Le 29 octobre, ils ont utilisé un identifiant dérobé pour placer des copies non autorisées de l'extension — les versions 2.1.312 et 2.1.313 — directement dans le cache servant la place de marché de Cursor, où elles sont restées disponibles pendant environ 11 heures avant d'être retirées. L'extension légitime d'Anthropic et le registre Open VSX n'ont pas été compromis.

Ce que faisait le logiciel malveillant

L'extension modifiée exécutait du JavaScript qui collectait des informations système, installait une clé SSH contrôlée par l'attaquant, tentait d'activer SSH et mettait en place une persistance. Des chercheurs en sécurité ont relevé des erreurs de programmation ayant probablement empêché la porte dérobée de fonctionner sur de nombreux systèmes Windows et macOS où SSH n'était pas déjà activé. Cursor a indiqué que jusqu'à 5 000 utilisateurs ayant demandé les versions concernées pendant la fenêtre d'exposition pourraient avoir reçu une version malveillante. Par ailleurs, moins de 0,05 % des utilisateurs ont vu des traces d'agents de codage exposées et moins de 0,01 % ont eu des identifiants d'API compromis ; du code source archivé hors production, des données de support limitées et certains résumés de conversations avec l'IA ont également été dérobés.

Réponse et pourquoi c'est important

La surveillance de Cursor a détecté l'activité non autorisée ; l'entreprise a révoqué la clé d'accès Fireworks, renouvelé les identifiants exposés, arrêté temporairement certains services, redirigé tout le trafic d'inférence hors de Fireworks, reconstruit sa place de marché d'extensions et redéployé son infrastructure de production. Cursor a précisé que son infrastructure de production, ses versions officielles, les dépôts de code des clients et les données en mode Confidentialité n'avaient pas été touchés. L'épisode rappelle avec force que le canal de distribution d'extensions d'un outil de développement est lui-même une cible de la chaîne d'approvisionnement : une seule clé de fournisseur divulguée a permis aux attaquants d'atteindre des milliers de machines de développeurs via un logiciel auquel ils faisaient déjà confiance.