Cursor 安全事件源头确认:LLM 对话记录泄静态凭证,Vercel 呼吁终结长期密钥
jobergum · x · 2026-11-15
Cursor 官方公布了近期安全事件的详细复盘,Vercel CTO Malte Ubl 转述要点：泄漏根源是被盗的 LLM 对话记录（transcript）中包含了静态凭证（API key、数据库密码等长期密钥）。
- Ubl 认为「唯一真正的修复」是彻底消灭长期静态凭证,并为此发布博文《Death to long-lived static credentials》。
- 他类比 2010 年的 HTTPS 推广：OAuth/OIDC/DBSC 等标准早已存在,但机器对机器认证仍停留在「HTTPS 普及前」的状态,静态密钥仍是 SaaS 与基础设施供应商的默认做法。
- Vercel 的应对：构建 OIDC UI（提供信任策略表单与 token 校验代码的 shadcn/ui registry）、在自有服务中扩展 OIDC 支持,并对 Marketplace 供应商提出新的认证要求。
对 AI 行业的启示：agent 时代凭证会大量出现在对话与日志里,静态密钥模式的风险被显著放大。
所属事件:Cursor 安全事件复盘：Fireworks 泄露密钥与 LLM 对话记录致凭证外泄(2 条相关)→
「编程与Agent」频道最新
- vibecoding 专用工具比通用软件更省事：开发者自制延时摄影剪辑器 — mishig25 · 2026-11-15
- Alchemy 作者演示 E2B 沙箱套路:部署时建模板快照,运行时按需 fork — samgoodwin89 · 2026-11-15
- Alchemy 新版支持 Rivet 与 Effect Cluster,可部署到任意云并跨平台换沙箱 — samgoodwin89 · 2026-11-15
- 开源 NHL MCP 服务器上线，自然语言直查比赛与球员数据 — modelcontextprotocol · 2026-11-15
- HiveAttest 为 AI Agent 加执行前认证围栏，每次调用签发回执 — modelcontextprotocol · 2026-11-15
- GitHub Octoverse 报告：AI agent 发起的 PR 占比公布 — 0xkarasy · 2026-11-15