凡人小北(@frxiaobei):Cursor 前两天把上个月那次安全事故的复盘发出来了，我从头读到尾。链路挺长的起点都不在 Cursor 自己家。开头是 Cursor 发给合作方 Fireworks 的一把访问 key，在 Fireworks 那边泄了。攻击者拿它拷走一个只读存储桶，里面是一批 agent 会话记录，大多是 2025 年、没开隐私模式的。少量记录里夹着没打码的凭证，不到 0.01% 的客户 API 凭证就这么出去了。攻击者再拿这些凭证摸进 Cursor 用的几个 SaaS 工具，又拿到新的凭证，把一个假的 Claude Code 扩展直接放进了 Cursor 扩展市场的缓存。上游 Open VSX 一直是干净的，出事的只是缓存。挂了大概 11 个小时，最多 5000 个用户可能装到这个扩展。官方还提醒，光卸载可能不够。我抄了 5 条： - 跟 agent 聊天别贴 key。会话记录会被存下来、拿去分析，还可能分给合作方 - 扩展、skill、MCP 认准版本号和发布者，镜像和缓存不等于源头 - 发给供应商的 key，限定只能从哪些网络用 - 密钥扫描别只扫代码仓库，日志、会话记录、工单里都会有 - 别在下载目录里起 agent。前阵子就有网页偷偷往下载目录塞 AGENTS. md，agent 读了就照着做最后一条是说给我自己的。“权限控制好”这种话我以前也常说，说完就觉得这事有人管了。以后需要经常问一句：哪一行代表权限？认证开没开、谁能访问、key 放在哪，指给我看。

2026.11.15 04:09

Cursor 前两天把上个月那次安全事故的复盘发出来了，我从头读到尾。链路挺长的起点都不在 Cursor 自己家。开头是 Cursor 发给合作方 Fireworks 的一把访问 key，在 Fireworks 那边泄了。攻击者拿它拷走一个只读存储桶，里面是一批 agent 会话记录，大多是 2025 年、没开隐私模式的。少量记录里夹着没打码的凭证，不到 0.01% 的客户 API 凭证就这么出去了。攻击者再拿这些凭证摸进 Cursor 用的几个 SaaS 工具，又拿到新的凭证，把一个假的 Claude Code 扩展直接放进了 Cursor 扩展市场的缓存。上游 Open VSX 一直是干净的，出事的只是缓存。挂了大概 11 个小时，最多 5000 个用户可能装到这个扩展。官方还提醒，光卸载可能不够。我抄了 5 条： - 跟 agent 聊天别贴 key。会话记录会被存下来、拿去分析，还可能分给合作方 - 扩展、skill、MCP 认准版本号和发布者，镜像和缓存不等于源头 - 发给供应商的 key，限定只能从哪些网络用 - 密钥扫描别只扫代码仓库，日志、会话记录、工单里都会有 - 别在下载目录里起 agent。前阵子就有网页偷偷往下载目录塞 AGENTS. md，agent 读了就照着做最后一条是说给我自己的。“权限控制好”这种话我以前也常说，说完就觉得这事有人管了。以后需要经常问一句：哪一行代表权限？认证开没开、谁能访问、key 放在哪，指给我看。