Cursor koppelt inbraak aan Fireworks-sleutel

Cursor koppelt zijn incident aan een door Cursor aan Fireworks verstrekte sleutel die bij Fireworks bloot kwam te liggen en waarmee aanvallers historische codeertraces kopieerden, meldt het bedrijf op 13 november.

Voor Nederlandse softwareteams die AI-codehulp of externe modeldiensten inkopen, loopt de leveranciersgrens door tot in opgeslagen gebruikssporen en gekoppelde SaaS-tools. Agenttraces en supportgesprekken kunnen naast prompts ook inloggegevens bevatten; die toegang kan daarna andere zakelijke diensten bereiken. De vraag is waar zulke data staan en welke rechten een sleutel krijgt.

Traces leidden door naar Cursor-diensten

De aanvaller kopieerde gegevens uit een alleen-lezen opslagbucket die Cursor met Fireworks deelde. Daar stonden vooral code-agenttraces uit 2025 van sessies zonder Privacy Mode, die Cursor voor modeltraining mocht gebruiken. Een klein aantal traces bevatte niet-afgeschermde inloggegevens.

Cursor zegt dat API-inloggegevens van minder dan 0,01 procent van de klanten blootlagen. De aanvaller gebruikte die inloggegevens om geselecteerde SaaS-diensten van Cursor te bereiken. Daar konden gearchiveerde broncode uit omgevingen buiten productie, beperkte supportdata en e-mail, gebruiksmetingen, contactgegevens, samenvattingen van agentgesprekken en gegevens uit supportberichten worden ingezien. Sommige codearchieven bevatten zakelijke contactgegevens.

Cursor deactiveerde de Fireworks-sleutel, verving aangetroffen inloggegevens en roteerde uit voorzorg ook alle andere inloggegevens in interne systemen. Het verplaatste inferentieverkeer weg bij Fireworks en sneed de toegang tot gedeelde datasets af. De laatste door Cursor waargenomen aanvallersactiviteit was op 1 november; die werd geblokkeerd.

Cursor verbindt de toegang ook aan de Claude Code-extensie 2.1.313 die elf uur in de marktplaats stond en SSH-persistentie probeerde te installeren. De aanvaller gebruikte inloggegevens uit de buitgemaakte data om versies 2.1.312 en 2.1.313 in de cache te plaatsen. Maximaal 5.000 gebruikers die deze versies op 29 oktober opvroegen, kunnen een besmette kopie hebben ontvangen; Anthropic bracht die niet uit.

Cursor zegt dat liveverkeer, klantcode, productie-infrastructuur, officiële app-updates en sleutels voor release-ondertekening buiten de inbraak bleven. Ook prompts en code in Privacy Mode waren niet geraakt. Volgens Cursor waren traces van minder dan 0,05 procent van gebruikers zonder Privacy Mode blootgesteld. Dat cijfer heeft een andere noemer dan het aandeel klanten met blootgestelde API-inloggegevens. Cursor zegt de betrokken gebruikers rechtstreeks te hebben geïnformeerd; wie geen bericht kreeg, zat volgens het bedrijf niet in deze traces.

Fireworks bracht de klantimpact in twee stappen naar buiten

Fireworks ontdekte op 6 oktober ongeautoriseerd gebruik van interne inloggegevens. Het eerste bulletin meldde toegang tot evaluatiegeheimen, waaronder API-sleutels en tokens, in een beperkt aantal accounts. Het bedrijf had toen geen aanwijzingen gevonden voor toegang tot klantmodellen, datasets, trainingsdata, prompts of persoonsgegevens binnen zijn eigen platformomgeving.

Op 9 november meldde Fireworks een aanvullend pad. Een externe cloudprovider die de R&D-machines hostte, kreeg op 23 oktober een incident; op 24 oktober bereikte een aanvaller Fireworks-ontwikkelmachines en startte er een ongeoorloofde workload. De update noemt extra toegang tot resource- en factuurgegevens, geheimen, datasets en onvolledige modellen, en beschrijft een financieel gemotiveerde groep die tokens voor LLM-toegang wil verkopen. De toegang tot Fireworks-R&D-machines via een onbekende cloudprovider leidde tot extra gevolgen voor klantbestanden. Fireworks zegt sinds 25 oktober geen nieuwe geslaagde toegang tot het klantenplatform te hebben vastgesteld; het onderzoek loopt nog.

Cursor noemt geen datum waarop zijn sleutel toegankelijk werd en geen van de bronnen stelt vast of de Uber-route dezelfde inloggegevens gebruikte.

Notion meldde dat minder dan 1 procent van de workspaces was geraakt doordat chattranscripten voor Insights bij Fireworks waren opgeslagen. Het trok API-sleutels in die het in getroffen AI-berichten had gevonden op 11 november. Op 13 november meldde Notion dat het ook sleutels van andere uitgevers aan die uitgevers had doorgegeven. Het bedrijf zette Insights uit en stopte met Fireworks als aanbieder van open-weight-modellen.

Uber meldt rijbewijsgegevens uit een andere klantomgeving

De Californische procureur-generaal registreert 7 oktober als datum van de Uber-inbreuk. De voorbeeldbrief van Uber zegt dat een dienstverlener op 9 oktober meldde dat interne inloggegevens waren gestolen en gebruikt om Uber-data te bereiken. Uber zegt in die brief dat het op 13 oktober toegang tot gegevens had vastgesteld en direct de verbinding met de leverancier verbrak.

TechCrunch identificeert Fireworks als leverancier en rapporteert op basis van staatsmeldingen rijbewijsgegevens van 2.567 mensen in Massachusetts, 3.430 in South Carolina en 1.873 in Rhode Island. Voor Illinois stond het aantal nog open; Uber noemde geen totaal voor Californië.

Bij Cursor gaat het om codeertraces en beperkte interne data; bij Uber om identiteitsgegevens van chauffeurs. Het landelijke aantal Uber-chauffeurs is nog niet bekend en kan volgens TechCrunch stijgen als nieuwe meldingen binnenkomen.

De meldingen geven nog geen totaalbeeld

Dat motief past bij de bredere dreiging die Google Threat Intelligence Group en Mandiant op 2 november beschreven. In andere onderzochte LLMjacking-incidenten liepen ongeoorloofde cloudkosten boven 100.000 dollar op één dag uit; bij sommige organisaties bereikten de opgetelde kosten 1 miljoen dollar voordat toegang werd ingetrokken. Die bedragen horen bij andere incidenten, niet bij Cursor, Uber of Fireworks.

Geen bedrijf publiceert een totaal: Cursor noemt alleen percentages, Fireworks geen aantal accounts en Uber nog geen nationaal cijfer. De openbare voorbeeldbrief laat open welke gegevenssoorten bij individuele ontvangers zijn betrokken.

De meldingen tonen hoe één AI-leverancier verschillende datalagen kan verwerken: agenttraces, toegangsgegevens, bedrijfsinformatie en identiteitsdata. De toegangspaden verschilden per klant, zodat één sleutelintrekking of datalijst niet vanzelf de hele keten afbakent. Cursor zegt zijn Fireworks-sleutel te hebben ingetrokken; Fireworks blijft het incident onderzoeken. Voor teams die AI-diensten inkopen, bepalen opgeslagen data en de rechten van gekoppelde sleutels welke systemen na een inbraak bereikbaar zijn.