La extensión oficial Claude Code de Anthropic para Visual Studio Code y Cursor se distribuyó con una puerta trasera que instalaba un troyano SSH inverso persistente en las máquinas de los desarrolladores, según el investigador de seguridad Kevin Beaumont, quien escribió en Mastodon como @GossiTheDog. La compilación comprometida, versión 2.1.313, fue retirada de la distribución y reemplazada por la 2.1.314, la cual, según Beaumont, confirmó que no elimina la puerta trasera existente ni detiene la actividad de reconocimiento que ya se ejecuta en las máquinas infectadas.

La extensión es una de las más populares en la categoría DevOps, con lo que Beaumont describe como millones de instalaciones, y debido a que se actualiza automáticamente, afirma que toda organización que la ejecute habrá recibido la versión maliciosa. Phorion, un proveedor de detección y respuesta de endpoints para macOS citado en la publicación de Beaumont, afirma haber detectado una puerta trasera en el paquete oficial de la extensión Claude Code en Open VSX que instala una puerta trasera SSH persistente en macOS, Linux y Windows. El propio aviso de seguridad de Cursor, también enlazado en el hilo de Beaumont, identifica el paquete afectado como Anthropic.claude-code versión 2.1.313 en el mercado de extensiones de Cursor. Un informe independiente de opensourcemalware.com, también citado por Beaumont, describe un cargador incorporado en la 2.1.313 que se ejecuta antes del código real de la extensión, agrega una clave controlada por el atacante, abre un túnel inverso y establece persistencia.

Beaumont describe el mecanismo como un ataque clásico a la cadena de suministro: el actor de la amenaza obtuvo conectividad de línea de comandos SSH inversa a los entornos de clientes de Anthropic a escala, con el operador capaz de elegir selectivamente qué endpoints comprometidos acceder de forma interactiva. Según Beaumont, el servidor de comando y control del atacante recopiló, para cada máquina víctima, el nombre de host, el nombre de usuario, el sistema operativo, la arquitectura, la ruta del directorio home, los nombres de las variables de entorno, los directorios de trabajo y la dirección de correo de Git configurada antes de establecer el canal SSH inverso. Informa que el servidor C2 ahora está fuera de línea, pero señala que eso no deshace el acceso ni la persistencia ya implantados en los sistemas afectados.

No hay una solución de tipo "parchear y seguir adelante" aquí, según el relato de Beaumont: afirma que las versiones de reemplazo que Anthropic publicó durante la noche, que llegan a través del mismo mecanismo de actualización automática, aún dejan intactas la puerta trasera previa y las herramientas de reconocimiento, lo que significa que las conexiones SSH siguen comunicándose hacia afuera incluso después de aplicarse la actualización. Su recomendación, repetida en el hilo, es que cada instalación afectada de VS Code y Cursor necesita remediación manual en lugar de depender de la ruta de actualización automática. También informa haber confirmado que Binance ejecuta Claude Code en Cursor con la extensión afectada, y señala que Anthropic no ha comentado públicamente y que sus gestores de cuentas tampoco responden a las consultas.

Hay desacuerdo en las respuestas al hilo de Beaumont sobre exactamente qué mercados se vieron afectados: un comentarista señala que el propio aviso de Cursor afirma que solo su mercado fue atacado, no Open VSX, mientras que otro usuario, Winter, responde que la versión 2.1.313 también estaba disponible en Open VSX, aunque desde entonces fue retirada. El hilo de Beaumont no resuelve si el propio Microsoft VS Code Marketplace llegó a contener la compilación comprometida o solo la versión limpia 2.1.314, y no se cita ningún aviso oficial de Anthropic en ninguna parte del material que confirme el alcance, la causa raíz o un cronograma para la remediación completa.

Para los equipos que ejecutan Claude Code hoy, la realidad operativa descrita en este hilo es contundente: una actualización por sí sola no cierra este agujero. Anthropic no ha publicado su propia divulgación del incidente al momento de este reportaje, por lo que los arquitectos deben tratar cada máquina que alguna vez ejecutó la 2.1.313 como comprometida, retirarla de la red, rotar cada credencial y token de sesión que tocó, y reconstruir desde medios limpios en lugar de confiar en que el actualizador automático se limpie por sí solo.