Nach einem Sicherheitsvorfall beim KI-Anbieter Fireworks AI haben Angreifer am 29. Oktober 2026 manipulierte Versionen der Claude-Code-Erweiterung über den Marktplatz des KI-Code-Editors Cursor in Umlauf gebracht.
Die Täter erlangten zuvor exponierte Zugangsschlüssel von Cursor, die bei dem Partnerunternehmen Fireworks AI lagerten. Wie Cursor am 13. November 2026 nach Abschluss einer rund zweiwöchigen Untersuchung mitteilte, seien die meisten Kunden von dem Vorfall jedoch nicht betroffen gewesen.
Vorfall bei Fireworks AI als Ausgangspunkt
Die Kette der Ereignisse begann am 23. Oktober 2026 mit einem Vorfall bei einem Cloud-Provider von Fireworks AI. Am 24. Oktober 2026 registrierte Fireworks AI einen unbefugten Zugriff auf interne Entwicklungsmaschinen. Seit dem 25. Oktober 2026 wurden bei dem Anbieter keine weiteren erfolgreichen Zugriffe verzeichnet. Der Angriff auf Fireworks AI wird einer Gruppe zugeordnet, die für Aktivitäten im Bereich LLMJacking bekannt ist.
Über den dort entwendeten Zugangsschlüssel von Cursor verschafften sich die Akteure Zugriff auf die Cursor-Infrastruktur. Am 29. Oktober 2026 nutzte die Angreiferseite den Schlüssel, um den Verteilungscache der Claude-Code-Erweiterung zu manipulieren und einen schreibgeschützten Speicher mit Traces von Programmierassistenten zu kopieren, die überwiegend aus dem Jahr 2025 stammten.
Schadsoftware in Entwickler-Erweiterungen platziert
In der Folge standen am 29. Oktober 2026 die manipulierten Versionen 2.1.312 und 2.1.313 für macOS und Windows im Marktplatz von Cursor zum Download bereit. Die schädlichen Pakete waren etwa elf Stunden lang verfügbar, konkret im Zeitraum von circa 2:27 bis 13:35 Uhr pazifischer Zeit.
Nach Schätzungen von Cursor waren bis zu 5.000 Entwickler der Malware potenziell ausgesetzt. Laut Berichten scheiterte die Ausführung der Erweiterung in der Praxis jedoch häufig an Coding-Fehlern.
Immer mehr Unternehmen werden Opfer von gezielten Cyberangriffen durch manipulierte Software – diese Checkliste hilft Ihnen, solche Risiken proaktiv zu minimieren. Erfahren Sie im kostenlosen E-Book, wie Sie Sicherheitslücken schließen und Ihre IT-Infrastruktur effektiv absichern. Proaktiven Schutz vor Cyberangriffen jetzt kostenlos sichern
Nach Analysen von Microsoft Threat Intelligence schleuste der manipulierte JavaScript-Code eine SSH-Hintertür ein. Der Schadcode enthielt den SSH-Schlüssel „svc-telemetry“, richtete ein Reverse-Forwarding ein, übermittelte Host-Details, versuchte alle 60 Sekunden einen Verbindungsaufbau und sicherte die Persistenz über LaunchAgents beziehungsweise geplante Aufgaben im Betriebssystem.
Begrenzte Auswirkungen auf Nutzerdaten
Cursor betonte in den Untersuchungsergebnissen, dass die Auswirkungen stark eingegrenzt werden konnten. Über unredigierte Zugangsdaten in den kopierten Traces außerhalb des Privacy Mode gelang es den Angreifern zwar, zeitweise auf interne SaaS-Tools, archivierte Repositories abseits der Produktion, Support-Daten, E-Mails, Nutzungsmetriken, Kontaktdaten sowie Zusammenfassungen von Programmiergesprächen zuzugreifen.
Die Zahl der betroffenen Anwender blieb jedoch sehr gering: Bei weniger als 0,05 Prozent der Nutzer, die nicht den Privacy Mode verwendeten, waren Traces der Programmierassistenten exponiert. Bei weniger als 0,01 Prozent der Kunden wurden API-Zugangsdaten kompromittiert.
Neue technologische Risiken fordern von Unternehmen ein schnelles Umdenken bei der IT-Sicherheit und den rechtlichen Anforderungen. Dieser kostenlose Report klärt auf, welche Pflichten und proaktiven Maßnahmen Unternehmer jetzt kennen müssen, um Datenlecks zu verhindern. Gratis-E-Book zur aktuellen Cyber-Security herunterladen
Daten aus dem Privacy Mode, Kunden-Repositories, Produktionssysteme sowie offizielle App-Updates waren nicht betroffen. Auch die Plattform Open VSX war zu keinem Zeitpunkt kompromittiert, und Anthropic veröffentlichte keine Kopien.
Gegenmaßnahmen und Bereinigung
Die letzte Aktivität der Angreifer wurde am 1. November 2026 blockiert. Cursor widerrief den kompromittierten Fireworks-Schlüssel, rotierte sämtliche exponierten Zugangsdaten und verlagerte Inferenz-Prozesse weg von Fireworks AI.
Zudem nahm das Unternehmen den Marktplatz vorübergehend vom Netz, baute ihn neu auf, veranlasste die Abschaltung von Servern der Angreifer und zog externe Forensiker hinzu. Sicherheitsexperten von GoPlus empfehlen betroffenen Nutzern den Einsatz von Bereinigungsskripten zur Entfernung potenzieller Rückstände.