A extensão oficial Claude Code, da Anthropic, para Visual Studio Code e Cursor foi lançada com um backdoor que instalava um trojan SSH reverso persistente em máquinas de desenvolvedores, segundo o pesquisador de segurança Kevin Beaumont, em publicação no Mastodon como @GossiTheDog. A versão comprometida, 2.1.313, foi retirada de distribuição e substituída pela 2.1.314, que, segundo Beaumont, ele confirmou não remover o backdoor existente nem interromper a atividade de reconhecimento já em execução nas máquinas infectadas.

A extensão é uma das mais populares na categoria DevOps, com o que Beaumont descreve como milhões de instalações, e, como faz atualização automática, ele afirma que toda organização que a utiliza terá recebido a versão maliciosa. A Phorion, fornecedora de detecção e resposta de endpoint para macOS citada na publicação de Beaumont, diz ter detectado um backdoor no pacote oficial da extensão Claude Code no Open VSX que instala um backdoor SSH persistente em macOS, Linux e Windows. O próprio aviso de segurança do Cursor, também vinculado no tópico de Beaumont, identifica o pacote afetado como Anthropic.claude-code versão 2.1.313 no marketplace de extensões do Cursor. Uma análise separada do opensourcemalware.com, também citada por Beaumont, descreve um loader embutido na versão 2.1.313 que executa antes do código real da extensão, adiciona uma chave controlada pelo atacante, abre um túnel reverso e estabelece persistência.

Beaumont descreve o mecanismo como um ataque clássico à cadeia de suprimentos: o agente da ameaça obteve conectividade de linha de comando via SSH reverso em ambientes de clientes da Anthropic em escala, com o operador capaz de selecionar seletivamente quais endpoints comprometidos acessar interativamente. Segundo Beaumont, o servidor de comando e controle do atacante coletou, para cada máquina vítima, o hostname, nome de usuário, sistema operacional, arquitetura, caminho do diretório home, nomes de variáveis de ambiente, diretórios de trabalho e endereço de e-mail do Git configurado antes de estabelecer o canal SSH reverso. Ele relata que o servidor de C2 está agora offline, mas diz que isso não desfaz o acesso ou a persistência já implantados nos sistemas afetados.

Não há aqui uma correção do tipo aplicar-o-patch-e-seguir-em-frente, segundo o relato de Beaumont: ele afirma que as versões de substituição que a Anthropic publicou durante a noite, que chegam pelo mesmo mecanismo de atualização automática, ainda deixam intactos o backdoor anterior e as ferramentas de reconhecimento, o que significa que as conexões SSH continuam a se comunicar mesmo após a atualização ser aplicada. Sua recomendação, repetida no tópico, é que toda instalação afetada do VS Code e do Cursor precisa de remediação manual, em vez de depender do caminho de atualização automática. Ele também relata ter confirmado que a Binance executa o Claude Code no Cursor com a extensão afetada, e diz que a Anthropic não se pronunciou publicamente e que seus gerentes de conta também não estão respondendo a consultas.

Há divergência nas respostas ao tópico de Beaumont sobre exatamente quais marketplaces foram afetados: um comentarista observa que o próprio aviso do Cursor afirma que apenas seu marketplace foi atingido, não o Open VSX, enquanto outro usuário, Winter, responde que a versão 2.1.313 também estava disponível no Open VSX, embora já tenha sido retirada desde então. O tópico de Beaumont não resolve se o Microsoft VS Code Marketplace propriamente dito carregava a versão comprometida ou apenas a 2.1.314 já corrigida, e nenhum comunicado oficial da Anthropic é citado em nenhum ponto do material confirmando o escopo, a causa raiz ou um cronograma para a remediação completa.

Para as equipes que executam o Claude Code hoje, a realidade operacional descrita neste tópico é direta: uma atualização sozinha não fecha essa brecha. A Anthropic não publicou sua própria divulgação de incidente até o momento desta reportagem, então os arquitetos devem tratar toda máquina que já executou a versão 2.1.313 como comprometida, retirá-la da rede, rotacionar todas as credenciais e tokens de sessão que ela tocou, e reconstruir a partir de mídia limpa em vez de confiar que o atualizador automático vá limpar a própria bagunça.