Cursor hat am 29. Oktober eine kompromittierte Claude-Code-Erweiterung aus seinem Marketplace entfernt, nachdem Forscher festgestellt hatten, dass bösartige Versionen des Plug-ins eine SSH-Backdoor installiert hatten. Schätzungsweise 5.000 Nutzer könnten betroffen sein. Das Problem betraf nicht Anthrops KI-Modell Claude; stattdessen gelangte die Schadsoftware über Cursors Erweiterungs-Marketplace zu den Entwicklern.

Zwei vergiftete Builds waren elf Stunden lang verfügbar

Zwei kompromittierte Versionen von Anthropic.claude-code — 2.1.312 und 2.1.313 — standen im Marketplace von Cursor für Windows und macOS zum Download bereit. Laut Cursors Hinweis waren sie am 29. Oktober etwa elf Stunden lang verfügbar, von 2:27 Uhr bis 13:35 Uhr Pazifikzeit.

Anthropic hat keines der bösartigen Plug-ins erstellt. OpenSourceMalware, das Version 2.1.313 untersuchte, stellte fest, dass das offizielle npm-Paket, der Open-VSX-Eintrag und die Version im Microsoft VS Code Marketplace nicht betroffen waren. Dieser Unterschied verortet den Kompromiss in Cursors Distributionskanal und nicht in der Erweiterung selbst — das kennzeichnende Merkmal eines Supply-Chain-Angriffs, bei dem der vertrauenswürdige Pfad zur Softwareinstallation zum Angriffsvektor wird.

Eine Backdoor vor der eigentlichen Erweiterung eingefügt

Der Angreifer versteckte einen 66 Zeilen langen Loader am Anfang der JavaScript-Datei der Erweiterung, wodurch der bösartige Code vor der legitimen Erweiterung ausgeführt wurde. Wie OpenSourceMalware erläuterte:

„Der Nutzer muss keine Claude-Konversation starten. Das Laden des Erweiterungsmoduls genügt.“

Nach der Aktivierung sammelte der Code Informationen über den Computer sowie über die dort vorhandenen Arten von Zugangsdaten — ein Inventarisierungsschritt, der relevant ist, da Entwicklerrechner häufig Zugriff auf Quellcode-Repositorys, Cloud-Infrastruktur und Deployment-Pipelines haben. Er erstellte außerdem einen SSH-Schlüssel namens svc-telemetry und versuchte, einen Reverse-Tunnel zu 134.209.82.225 aufzubauen, während er gleichzeitig Gerätedaten über HTTP auf Port 8099 sendete.

Cursor teilte mit, dass Versuche, SSH zu nutzen, ohne Administratorrechte in der Regel fehlschlugen. Dennoch können der Spyware-Schlüssel und Persistenz-Skripte auf dem Computer verbleiben, und der Code könnte weiterhin Informationen über den Rechner sammeln und übertragen.

Warum Deinstallation möglicherweise nicht ausreicht

Cursor entfernte die Schadsoftware, schaltete seinen Marketplace vorübergehend ab, prüfte andere Erweiterungen und arbeitete mit dem Hosting-Anbieter zusammen, um den Server des Angreifers offline zu nehmen. Das hieß nicht, dass betroffene Computer sicher waren. Cursor warnte in seinen Sicherheitshinweisen:

„Die Deinstallation der Erweiterung ist möglicherweise nicht ausreichend — die Payload hinterlegt eigenständige Persistenz-Skripte, die weiterlaufen.“

Beispiele für solche Persistenz-Skripte sind ein LaunchAgent unter macOS und eine geplante Aufgabe unter Windows. Cursor riet betroffenen Entwicklern, den svc-telemetry-SSH-Schlüssel zu löschen und die Cleanup-Skripte des Unternehmens auszuführen. Entwickler müssen ein separates, vertrauenswürdiges Gerät verwenden, um alle Zugangsdaten zu ändern, die vom betroffenen Computer aus zugänglich sind. Wer die betroffenen Versionen installiert hat, sollte auch nach der Deinstallation der Erweiterung bestätigen, dass diese Artefakte entfernt sind.

Warum dies in ein Muster des Jahres 2026 passt

Der Cursor-Vorfall ist Teil eines größeren Problems: Angreifer zielen zunehmend auf die Werkzeuge ab, die Entwickler nutzen und denen sie vertrauen. Die Cloud Security Alliance berichtete über die TrapDoor-Kampagne, an der mehr als 34 bösartige Pakete beteiligt waren, die versteckte Anweisungen in Konfigurationsdateien von KI-Assistenten einfügten. Die GlassWorm-Kampagne nutzte hingegen sogenannte Sleeper-Erweiterungen, um auf Zugangsdaten und Krypto-Wallets von Entwicklern abzuzielen; Cryptopolitan berichtete zuvor über die 73 solchen Erweiterungen, die von Socket identifiziert wurden. Was den Fall Cursor unterscheidet, ist der Ort: Die kompromittierten Builds erschienen im Marketplace, der vom Tool-Anbieter selbst betrieben wird, und nicht in einem Drittanbieter-Verzeichnis.

Das Problem geht über Erweiterungen hinaus. Sonatype identifizierte im Jahr 2025 mehr als 454.600 neue bösartige Pakete — Ergebnisse, die Cryptopolitan ebenfalls behandelte im Hinblick auf vergiftete npm-Bibliotheken. Dies waren getrennte Angriffe ohne bestätigte Verbindungen zwischen den Tätern.

Vertrauen wird zur Vertragsposition in Unternehmensvereinbarungen

Die wachsende Bedrohung wird deutlich, da Entwickler KI-Tools zunehmend nutzen. GitHub Octoverse zufolge ist die Entwickleraktivität gestiegen, da KI-Systeme an Popularität gewinnen. In der Stack-Overflow-Umfrage 2026 gaben 80 % der Befragten an, KI-Tools eine Stunde pro Tag oder länger zu nutzen, während 48 % sagten, dass sie KI-generierten Inhalten nur vertrauen, wenn ihre Gültigkeit leicht überprüfbar ist.

Für Unternehmen bringt die zunehmende Nutzung von KI-Tools neue Sicherheitsbedenken mit sich. Unternehmen könnten stärkere Marketplace-Prüfungen, den Nachweis, dass Erweiterungen aus legitimen Quellen stammen, und strengere Zugriffs kontrollen verlangen. Sie könnten außerdem erwarten, dass Anbieter bei Sicherheitsvorfällen schneller reagieren. Diese Sicherheitsmaßnahmen könnten ein weiterer Kostenfaktor bei der Einführung von KI-Tools sein — wobei diese Kosten potenziell bleiben und keine tatsächlichen finanziellen Verluste aus dem Cursor-Vorfall darstellen.

Quelle: Cryptopolitan