Una versión maliciosa de la extensión oficial Claude Code de Anthropic para VS Code se distribuyó a través del marketplace de Cursor y se actualizó automáticamente de forma silenciosa en máquinas de desarrolladores, instalando un backdoor SSH persistente y un troyano de acceso remoto por túnel inverso, según el análisis de Kevin Beaumont en DoublePulsar. Cursor afirma que alrededor de 5,000 sistemas de desarrolladores se vieron afectados, según el reporte de Beaumont.
El paquete comprometido era la versión 2.1.313 de la extensión Claude Code, subida bajo la cuenta de publicador verificado de Anthropic en el marketplace de Cursor, escribe Beaumont. Debido a que la extensión se actualizaba automáticamente dentro de Cursor, los desarrolladores que ya tenían Claude Code instalado recibieron la build maliciosa sin ninguna acción de su parte. Beaumont atribuye a Phorion haber notado primero la actividad maliciosa en los endpoints, señalando el propio aviso de seguridad de Phorion como la detección inicial.
El propio aviso de seguridad de Cursor, citado en el artículo de Beaumont, describe lo que hacía la extensión una vez instalada: recopilaba hostname, nombre de usuario, sistema operativo, arquitectura, ruta del directorio home, nombres de variables de entorno, directorios de trabajo, el correo de Git configurado y la dirección IP pública. Luego intentaba agregar una clave SSH controlada por el atacante a authorized_keys, habilitar el servicio SSH local y abrir un túnel SSH inverso, con persistencia configurada mediante un LaunchAgent en macOS o una tarea programada que intentaba ejecutarse como SYSTEM, con un fallback de Startup-script, en Windows. Los detalles del host y el estado del backdoor se reportaban mediante HTTP POST a un endpoint /beacon en el puerto 8099.
El aviso de Cursor, según cita Beaumont, también indica que "fuera de circunstancias muy inusuales en las que Cursor se iniciaba con privilegios de administrador, debido a errores en el código malicioso, este paso fallaría" — lo que significa que la instalación de la clave SSH y el túnel en gran medida no tuvo éxito en configuraciones normales de desarrolladores. Donde sí llegó a ejecutarse, los scripts en segundo plano reintentaban el túnel aproximadamente cada 60 segundos, según el aviso.
Anthropic reemplazó la build comprometida con la versión 2.1.314 aproximadamente ocho horas después del lanzamiento malicioso, reporta Beaumont, y la actualización parece eliminar el código del backdoor de la propia extensión. No revierte el backdoor SSH ni el reconocimiento previo en los sistemas que ya estaban infectados, y Beaumont señala que Anthropic no ha informado directamente a los clientes; la versión maliciosa fue retirada de OpenVSX, el Visual Studio Marketplace y Cursor sin aviso público, según la publicación.
Beaumont cuestiona el lenguaje en la propia publicación del blog de Cursor, que afirma "esta versión maliciosa de la extensión no fue desarrollada por Anthropic." Argumenta que la frase minimiza el incidente, ya que el paquete se subió a través de la cuenta verificada de Anthropic y no por algún canal no relacionado — "por supuesto que Anthropic no desarrolló el backdoor, hubo un incidente de seguridad que derivó en un ataque a la cadena de suministro", escribe. La publicación de Beaumont también menciona a Binance entre los "miles" de organizaciones que ejecutan Claude Code y Cursor en laptops de desarrolladores.
Para los equipos que ejecutan extensiones de asistentes de codificación con IA, el detalle accionable está en el propio aviso de Cursor: una insignia de publicador verificado no impidió que una build troyanizada llegara a máquinas de desarrolladores en producción mediante actualización automática, y el paso de instalación del backdoor solo falló por errores en el código del atacante, no por ninguna salvaguarda de la plataforma. Fijen las versiones de las extensiones en lugar de confiar en la actualización automática, y traten a los marketplaces de extensiones de IDE — incluso aquellos vinculados a una cuenta de publicador confiable — como una superficie de cadena de suministro no verificada que vale la pena aislar en sandbox o aislar de la red de las laptops de los desarrolladores.