Cursor, un environnement de développement assisté par intelligence artificielle, a été touché par une cyberattaque dont l’origine remonte à un prestataire. Dans un communiqué publié le 13 novembre 2026, l’éditeur explique qu’un attaquant a obtenu une clé d’accès qu’il avait fournie à Fireworks. Cette compromission a permis d’accéder à des données stockées dans un espace partagé entre les deux entreprises.
Les informations consultées comprenaient notamment des historiques de sessions de l’assistant de programmation, pour la plupart issus de 2025. Cursor précise que certains de ces historiques contenaient des informations d’authentification qui n’avaient pas été masquées. L’entreprise indique que des identifiants d’API ont été exposés pour moins de 0,01 % de ses clients, sans communiquer le nombre total de personnes concernées.
Des données liées au développement et au support
Après avoir utilisé l’accès compromis, l’attaquant a atteint certains outils en ligne de Cursor. Il a alors pu consulter des dépôts de code archivés, qui n’étaient pas utilisés en production. Certains de ces dépôts contenaient des coordonnées professionnelles. L’incident a également concerné une partie des échanges avec le support client, des statistiques d’utilisation, des coordonnées, des résumés de conversations avec l’assistant et des informations d’authentification communiquées par des utilisateurs au service d’assistance.
- Historiques de sessions : des échanges avec l’assistant de programmation, datant majoritairement de 2025.
- Informations professionnelles : des coordonnées présentes dans des dépôts archivés et dans les outils de l’entreprise.
- Données d’authentification : certaines informations transmises au support ou intégrées à des historiques de session.
Cette exposition ne signifie pas que l’ensemble des utilisateurs de Cursor a été touché de la même manière. L’éditeur ne fournit pas de décompte global et distingue l’exposition limitée d’informations d’authentification d’API des autres catégories de données consultées. Cette absence de bilan chiffré complet laisse toutefois inconnue l’ampleur exacte de l’incident pour les utilisateurs concernés.
Une extension falsifiée proposée aux développeurs
Cursor a par ailleurs décrit un second volet, dans un avis publié le 29 octobre. Pendant environ 11 heures, une copie piégée de l’extension Claude Code a été mise à disposition sur la place de marché d’extensions de la plateforme. D’après Cursor, 5 000 utilisateurs au maximum ont pu la recevoir.
Une fois installée, cette extension transmettait des informations relatives à l’ordinateur utilisé, notamment l’adresse électronique configurée pour l’outil de gestion de code Git ainsi que l’adresse IP publique. Cursor ne précise pas combien d’utilisateurs l’ont effectivement installée ni quelles suites ont été données pour chaque personne potentiellement concernée. L’incident met néanmoins en évidence le risque que représente une place de marché logicielle lorsqu’un contenu malveillant parvient à s’y faire passer pour une extension légitime.
Les mesures annoncées par Cursor
L’entreprise indique avoir révoqué la clé d’accès compromise et renouvelé ses informations d’authentification. Elle affirme également avoir reconstruit sa place de marché d’extensions et avoir averti directement les utilisateurs concernés. Ces mesures constituent la réponse annoncée par l’éditeur, mais elles ne permettent pas, à elles seules, de déterminer si les données consultées ont été réutilisées.
| Élément | Information communiquée par Cursor |
|---|---|
| Origine de l’accès | Clé fournie au prestataire Fireworks |
| Clients concernés par l’exposition d’API | Moins de 0,01 % |
| Durée de disponibilité de l’extension falsifiée | Environ 11 heures |
| Utilisateurs susceptibles de l’avoir reçue | Au plus 5 000 |
Cette affaire associe deux faiblesses distinctes : la dépendance à un fournisseur disposant d’un accès aux données et la diffusion d’un logiciel altéré par l’intermédiaire d’un catalogue intégré. Pour les utilisateurs de solutions d’intelligence artificielle destinées au développement, les conséquences peuvent dépasser la simple fuite de coordonnées lorsque des historiques de travail ou des informations d’accès sont conservés sans masquage. Cursor n’a pas communiqué de nombre total de victimes, ni indiqué que les données exposées avaient fait l’objet d’une utilisation abusive.
