Cursor lưu các phiên lập trình với AI để huấn luyện, tin tặc tìm thấy mật khẩu bên trong

Cursor, trình soạn thảo mã bằng AI được xây dựng trên nền tảng Visual Studio Code mã nguồn mở của Microsoft, cho biết vụ xâm nhập gần đây bắt đầu từ một nơi mà phần lớn người dùng không bao giờ nghĩ tới: những phiên lập trình cũ mà công ty lưu lại để huấn luyện các mô hình AI. Một số cuộc trò chuyện được lưu vẫn chứa mật khẩu và khóa API. Kẻ tấn công đã lợi dụng chúng để xâm nhập sâu hơn vào hệ thống của Cursor, rồi đưa một bản tiện ích mở rộng Claude Code của Anthropic bị cài cửa hậu vào chợ tiện ích mở rộng của chính trình soạn thảo này.

Chuỗi sự việc đó là điều đáng lưu tâm với bất kỳ ai từng dán thông tin bí mật vào trợ lý AI. Một khóa được nhập vào cửa sổ trò chuyện không tự biến mất khi phiên làm việc kết thúc. Nếu công cụ lưu lại cuộc trò chuyện, thông tin bí mật ấy sẽ tiếp tục nằm trong một tập dữ liệu, và bất kỳ ai truy cập được tập dữ liệu đó cũng sẽ lấy được khóa.

Theo báo cáo sự cố của Cursor, rắc rối bắt đầu tại Fireworks AI, một công ty bên ngoài mà Cursor sử dụng để huấn luyện mô hình và chạy suy luận. Kẻ tấn công lấy được khóa truy cập mà Cursor cấp cho Fireworks; theo Cursor, Fireworks đã để lộ khóa này. Sau đó, kẻ tấn công dùng khóa để sao chép một kho lưu trữ chỉ đọc được hai công ty chia sẻ. Trong đó có các dấu vết hoạt động của tác nhân lập trình, phần lớn từ năm 2025, ghi lại những phiên mà người dùng chưa bật Privacy Mode — chế độ ngăn Cursor sử dụng dữ liệu của bạn để huấn luyện. Cursor cho biết dấu vết của chưa đến 0,05% người dùng bị lộ, còn thông tin xác thực API của chưa đến 0,01% khách hàng bị ảnh hưởng.

Những thông tin xác thực còn sót lại này mở đường vào một số công cụ phần mềm dưới dạng dịch vụ mà Cursor vận hành. Từ đó, kẻ tấn công tiếp cận được mã nguồn lưu trữ, không dùng trong môi trường sản xuất; email hỗ trợ khách hàng; số liệu sử dụng và thông tin liên hệ; bản tóm tắt một số cuộc trò chuyện với tác nhân AI; cùng thông tin xác thực mà khách hàng từng chia sẻ với đội ngũ hỗ trợ của Cursor, theo bài viết chi tiết của BleepingComputer. Một thông tin xác thực bị đánh cắp có thể được dùng để đăng tải lên bộ nhớ đệm phía sau chợ tiện ích mở rộng của Cursor.

Đó là cách Claude Code giả mạo xuất hiện. Các phiên bản bị chỉnh sửa, mang số hiệu 2.1.312 và 2.1.313, tồn tại trên chợ khoảng 11 giờ; Cursor ước tính có thể tới 5.000 người yêu cầu tải chúng đã nhận phải bản độc hại. Bản này chạy mã nhằm cài khóa SSH của kẻ tấn công và duy trì quyền truy cập từ xa vào máy tính của nhà phát triển. Cursor nhấn mạnh rằng Anthropic không phát hành bản sao này, lỗ hổng không nằm trong sản phẩm của Anthropic, và Open VSX — chợ mở cung cấp các tiện ích mở rộng cho Cursor — chưa từng lưu hành phần mềm độc hại.

Báo cáo cũng còn những điểm chưa được làm rõ. Cursor chưa cho biết trong số 5.000 máy tính đó, có bao nhiêu máy thực sự bị cài cửa hậu hoạt động được. Theo BleepingComputer, các nhà nghiên cứu bảo mật phát hiện lỗi mã có thể đã ngăn phần mềm chạy trên nhiều máy Windows và macOS chưa bật SSH; điều này đồng nghĩa những máy vốn đã bật SSH là nhóm có nguy cơ cao nhất. Công ty cũng chưa giải thích vì sao thông tin xác thực vẫn nguyên vẹn, chưa được che hoặc xóa, trong dữ liệu gửi cho đối tác huấn luyện — bài học thực sự dành cho mọi công cụ lập trình AI học từ người dùng. Privacy Mode bảo vệ những người đã bật chế độ này, nhưng thiết lập mặc định vẫn để các phiên của tất cả người dùng còn lại được dùng cho việc huấn luyện.

Cursor không phải mục tiêu duy nhất. Công ty bảo mật Wiz thống kê ít nhất chín nền tảng dành cho nhà phát triển AI công bố sự cố trong tháng 10, tạo thành làn sóng mà họ gọi là Black October, khi tin tặc ráo riết săn lùng các khóa được lưu trữ để mở khóa những mô hình AI trả phí. Bản thân Fireworks cũng công bố hơn một vụ xâm nhập, còn Notion cho biết bản ghi trò chuyện AI từ một số ít không gian làm việc đã bị lộ thông qua Fireworks. Thông tin truy cập bị đánh cắp được bán lại hoặc dùng để tiêu thụ dịch vụ AI, với hóa đơn tính cho nạn nhân. Tại nhà cung cấp dịch vụ lưu trữ đám mây Railway, BleepingComputer đưa tin, các thông tin bí mật bị đánh cắp đã bị dùng để phát sinh khoảng 740.000 USD chi phí AI gian lận.

Cursor cho biết đã chuyển toàn bộ lưu lượng suy luận khỏi Fireworks, thay mới mọi thông tin xác thực trong hệ thống nội bộ, xây dựng lại chợ tiện ích mở rộng và triển khai lại hạ tầng sản xuất. Người dùng Privacy Mode, ứng dụng Cursor và các bản cập nhật chính thức của ứng dụng không bị ảnh hưởng; không có khóa ký phát hành nào bị lộ. Dịch vụ hoạt động giống nhau trên toàn thế giới, vì vậy lời khuyến cáo áp dụng ở mọi thị trường: bất kỳ ai đã cài đặt hoặc cập nhật Claude Code 2.1.312 hay 2.1.313 từ chợ của Cursor vào ngày 29 tháng 10 nên làm theo các bước khắc phục của công ty; quản trị viên nhóm cũng cần kiểm tra danh sách khóa mà Cursor đã gửi qua email.

Tiện ích mở rộng độc hại xuất hiện vào ngày 29 tháng 10, Cursor đăng thông báo bảo mật đầu tiên vào ngày 30 tháng 10, còn hoạt động cuối cùng của kẻ tấn công mà công ty phát hiện đã bị chặn vào ngày 1 tháng 11. Báo cáo sự cố đầy đủ được công bố ngày 13 tháng 11; công ty cho biết sẽ liên hệ trực tiếp với những khách hàng bị ảnh hưởng nếu phát hiện thêm điều gì. Với các nhà phát triển, cách phòng ngừa an toàn nhất còn đơn giản hơn mọi bản vá: hãy xem mật khẩu đã dán vào cuộc trò chuyện AI như thể nó đã được ghi lại ở một nơi khác.

Thẻ: an ninh mạng, Anthropic, rò rỉ dữ liệu, Claude Code, công cụ lập trình AI, Cursor