Uma versão maliciosa da extensão oficial Claude Code da Anthropic para o VS Code foi distribuída pelo marketplace do Cursor e se autoatualizou silenciosamente nas máquinas dos desenvolvedores, instalando um backdoor SSH persistente e um trojan de acesso remoto via túnel reverso, segundo o relato de Kevin Beaumont no DoublePulsar. O Cursor afirma que cerca de 5,000 sistemas de desenvolvedores foram afetados, de acordo com o relatório de Beaumont.

O pacote comprometido era a versão 2.1.313 da extensão Claude Code, enviada pela conta de publisher verificado da Anthropic no marketplace do Cursor, escreve Beaumont. Como a extensão se autoatualizava dentro do Cursor, os desenvolvedores que já tinham o Claude Code instalado receberam a versão maliciosa sem precisar fazer nada. Beaumont credita à Phorion a primeira detecção da atividade maliciosa nos endpoints, apontando o próprio aviso de segurança da Phorion como a detecção inicial.

O próprio aviso de segurança do Cursor, citado no texto de Beaumont, descreve o que a extensão fazia depois de instalada: ela coletava hostname, nome de usuário, sistema operacional, arquitetura, caminho do diretório home, nomes de variáveis de ambiente, diretórios de trabalho, e-mail configurado no Git e endereço IP público. Em seguida, tentava adicionar uma chave SSH controlada pelo invasor ao authorized_keys, habilitar o serviço SSH local e abrir um túnel SSH reverso, com persistência configurada via LaunchAgent no macOS ou uma tarefa agendada tentando rodar como SYSTEM, com um fallback de Startup-script, no Windows. Detalhes do host e o status do backdoor eram reportados de volta via HTTP POST para um endpoint /beacon na porta 8099.

O aviso do Cursor, conforme citado por Beaumont, também afirma que "fora de circunstâncias altamente incomuns em que o Cursor foi iniciado com privilégios de administrador, devido a erros no código malicioso, essa etapa falharia" — ou seja, a instalação da chave SSH e do túnel, em geral, não teve sucesso em configurações comuns de desenvolvedores. Nos casos em que funcionou, os scripts em segundo plano tentavam novamente o túnel a cada aproximadamente 60 segundos, de acordo com o aviso.

A Anthropic substituiu a versão comprometida pela versão 2.1.314 cerca de oito horas após o lançamento malicioso, relata Beaumont, e a atualização parece remover o código do backdoor da própria extensão. Ela não desfaz o backdoor SSH nem o reconhecimento prévio em sistemas que já haviam sido infectados, e Beaumont observa que a Anthropic não informou os clientes diretamente; a versão maliciosa foi retirada do OpenVSX, do Visual Studio Marketplace e do Cursor sem aviso público, segundo o post.

Beaumont contesta a linguagem usada no próprio post do blog do Cursor, que afirma que "esta versão maliciosa da extensão não foi desenvolvida pela Anthropic." Ele argumenta que a frase minimiza o incidente, já que o pacote foi enviado pela conta verificada da Anthropic, e não por algum canal não relacionado — "claro que a Anthropic não desenvolveu o backdoor, houve um incidente de segurança que levou a um ataque à cadeia de suprimentos," escreve ele. O post de Beaumont também cita a Binance entre os "milhares" de organizações que rodam Claude Code e Cursor em laptops de desenvolvedores.

Para equipes que usam extensões de assistente de codificação com IA, o detalhe acionável está no próprio aviso do Cursor: um selo de publisher verificado não impediu que uma versão trojanizada chegasse às máquinas de produção dos desenvolvedores via autoatualização, e a etapa de instalação do backdoor só falhou por causa de bugs no código do invasor, não por conta de nenhuma salvaguarda da plataforma. Fixe as versões das extensões em vez de confiar na autoatualização, e trate os marketplaces de extensões de IDE — mesmo os vinculados a uma conta de publisher confiável — como uma superfície de cadeia de suprimentos não verificada, que merece sandboxing ou isolamento de rede dos laptops dos desenvolvedores.