Cursor eliminó una extensión comprometida de Claude Code de su marketplace el 29 de octubre después de que investigadores descubrieron que versiones maliciosas del complemento habían instalado un backdoor SSH. Se estima que hasta 5,000 usuarios podrían haber sido afectados. El problema no involucró al modelo de IA de Anthropic, Claude; en cambio, el malware llegó a los desarrolladores a través del marketplace de extensiones de Cursor.

Dos compilaciones envenenadas estuvieron disponibles durante once horas

Dos versiones comprometidas de Anthropic.claude-code — 2.1.312 y 2.1.313 — estuvieron disponibles para descarga en el marketplace de Cursor para Windows y macOS. Según el aviso de Cursor, permanecieron disponibles durante unas once horas el 29 de octubre, desde las 2:27 a. m. hasta la 1:35 p. m., hora del Pacífico.

Anthropic no creó ninguno de los complementos maliciosos. OpenSourceMalware, que examinó la versión 2.1.313, encontró que el paquete oficial de npm, el listado de Open VSX y la versión de Microsoft VS Code Marketplace no fueron afectados. Esa distinción ubica el compromiso en el canal de distribución de Cursor y no en la extensión misma — el rasgo definitorio de un ataque a la cadena de suministro, donde la ruta confiable para instalar software se convierte en el vector de ataque.

Un backdoor antepuesto antes de la extensión real

El atacante ocultó un cargador de 66 líneas al inicio del archivo JavaScript de la extensión, lo que significa que el código malicioso se ejecutaba antes que la extensión legítima. Como explicó OpenSourceMalware:

"El usuario no necesita iniciar una conversación con Claude. Bastan con cargar el módulo de la extensión."

Al activarse, el código recopiló información sobre la computadora junto con los tipos de credenciales presentes en ella — un paso de inventario importante porque las máquinas de desarrolladores suelen tener acceso a repositorios de código fuente, infraestructura en la nube y pipelines de despliegue. También generó una clave SSH llamada svc-telemetry e intentó crear un túnel inverso hacia 134.209.82.225, mientras enviaba simultáneamente datos del dispositivo vía HTTP por el puerto 8099.

Cursor indicó que los intentos de usar SSH generalmente fallaban sin privilegios de administrador. Aun así, la clave del spyware y los scripts de persistencia pueden permanecer en la computadora, y el código podría seguir recopilando y transmitiendo información sobre la máquina.

Por qué desinstalar puede no ser suficiente

Cursor eliminó el malware, cerró temporalmente su marketplace, revisó otras extensiones y trabajó con el proveedor de hosting para desconectar el servidor del atacante. Eso no significaba que las computadoras afectadas estuvieran seguras. Cursor advirtió en su guía de seguridad:

"Desinstalar la extensión puede no ser suficiente — el payload instala scripts de persistencia independientes que siguen ejecutándose."

Ejemplos de esos scripts de persistencia son un LaunchAgent en macOS y una tarea programada en Windows. Cursor aconsejó a los desarrolladores afectados eliminar la clave SSH svc-telemetry y ejecutar los scripts de limpieza de la empresa. Los desarrolladores deben usar un dispositivo confiable separado para cambiar cualquier credencial accesible desde la computadora afectada. Quienes hayan instalado las versiones afectadas deben confirmar que esos artefactos hayan sido eliminados incluso después de desinstalar la extensión.

Por qué esto encaja en un patrón de 2026

El incidente de Cursor es parte de un problema más grande: los atacantes apuntan cada vez más a las herramientas que los desarrolladores usan y en las que confían. La Cloud Security Alliance informó sobre la campaña TrapDoor, que involucró más de 34 paquetes maliciosos que insertaron instrucciones ocultas en archivos de configuración de asistentes de IA. Mientras tanto, la campaña GlassWorm usó extensiones durmientes para atacar las credenciales y billeteras cripto de los desarrolladores; Cryptopolitan informó anteriormente sobre las 73 extensiones de este tipo identificadas por Socket. Lo que distingue al caso de Cursor es la ubicación: las compilaciones comprometidas aparecieron en el marketplace operado por el propio proveedor de la herramienta, en lugar de un listado de terceros.

El problema va más allá de las extensiones. Sonatype identificó más de 454,600 paquetes maliciosos nuevos en 2025 — hallazgos que Cryptopolitan también cubrió respecto a bibliotecas npm envenenadas. Estos fueron ataques separados, sin vínculos confirmados entre sus perpetradores.

La confianza se convierte en una partida en los contratos empresariales

La creciente amenaza es evidente a medida que aumenta el uso de herramientas de IA entre los desarrolladores. El Octoverse de GitHub indica que la actividad de los desarrolladores ha aumentado a medida que los sistemas de IA ganan popularidad. En la encuesta de Stack Overflow de 2026, el 80% de los encuestados dijo que usa herramientas de IA una hora al día o más, mientras que el 48% dijo que solo confía en el contenido generado por IA si su validez es fácil de confirmar.

Para las empresas, el uso creciente de herramientas de IA trae nuevas preocupaciones de seguridad. Las compañías podrían empezar a exigir controles más estrictos en los marketplaces, pruebas de que las extensiones provienen de fuentes legítimas y controles de acceso más rigurosos. También podrían esperar que los proveedores respondan más rápido cuando ocurran brechas de seguridad. Estas medidas de seguridad podrían ser otro costo más de implementar herramientas de IA — aunque estos costos siguen siendo potenciales y no pérdidas financieras reales del incidente de Cursor.

Fuente: Cryptopolitan