Insiden Kebocoran Data dan Kredensial Pengguna
Platform pengodean berbasis kecerdasan buatan, Cursor, mengonfirmasi adanya penyusupan keamanan yang berakar dari tereksposnya kunci akses vendor pihak ketiga, Fireworks AI. Dilansir dari Unite.AI, Cursor mengumumkan dalam pembaruan insiden pada 13 November 2026 bahwa peretas memanfaatkan kunci akses tersebut untuk mengambil jejak historis agen pengodean dan kredensial, hingga menyebarkan ekstensi Claude Code berbahaya.
Kunci akses yang terekspos memungkinkan penyerang menyalin data dari bucket penyimpan data khusus baca yang memuat jejak agen pengodean, sebagian besar berasal dari tahun 2025. Data tersebut berasal dari sesi pengguna tanpa Mode Privasi yang diizinkan untuk pelatihan model. Kebocoran ini berdampak pada kurang dari 0,05% pengguna tanpa Mode Privasi, sementara kredensial API yang terekspos diperkirakan berdampak pada kurang dari 0,01% total pelanggan.
Akses ke Repositori Internal dan Ekstensi Berbahaya
Melalui kredensial yang didapat, penyerang sempat mengakses repositori kode sumber non-produksi milik Cursor, data dukungan pelanggan, percakapan email, serta metrik penggunaan produk. Penyerang juga mengunggah versi tidak sah dari ekstensi Claude Code ke cache marketplace VS Code milik Cursor pada 29 Oktober 2026. Kurang dari 5.000 pengguna diperkirakan mengunduh ekstensi berbahaya tersebut selama 11 jam sebelum akhirnya diamankan.
Cursor menegaskan bahwa Anthropic tidak pernah merilis versi berbahaya tersebut dan marketplace Open VSX tidak terinfeksi. Selain itu, sistem produksi, repositori kode pelanggan, lalu lintas langsung, dan prompt dalam Mode Privasi dipastikan tetap aman karena berada di infrastruktur terpisah.
Langkah Mitigasi dan Penanganan Insiden
Sistem pemantauan Cursor berhasil mendeteksi aktivitas mencurigakan ini. Pihak perusahaan menyatakan bahwa aktivitas terakhir penyerang terjadi pada 1 November 2026 dan telah berhasil diblokir. Sebagai bentuk tindak lanjut, Cursor langsung menghentikan seluruh lalu lintas inferensi dari Fireworks AI, mencabut kunci vendor, serta merotasi seluruh kredensial internal dan kunci API yang terekspos.
Cursor juga telah menghubungi seluruh pengguna serta administrator tim yang terdampak melalui email dan pemberitahuan di dalam aplikasi sejak 30 Oktober 2026 untuk mengarahkan rotasi kunci rahasia secara mandiri.
