Cursor a retiré de son marketplace une extension Claude Code compromise le 29 octobre, après que des chercheurs ont découvert que des versions malveillantes du plug-in avaient installé une backdoor SSH. Environ 5 000 utilisateurs pourraient avoir été affectés. Le problème ne concernait pas le modèle d'IA d'Anthropic, Claude ; le logiciel malveillant a atteint les développeurs via le marketplace d'extensions de Cursor.

Deux versions empoisonnées disponibles pendant onze heures

Deux versions compromises d'Anthropic.claude-code — 2.1.312 et 2.1.313 — ont été mises à disposition au téléchargement sur le marketplace de Cursor pour Windows et macOS. Selon l'avis de Cursor, elles sont restées disponibles pendant environ onze heures le 29 octobre, de 2 h 27 à 13 h 35, heure du Pacifique.

Anthropic n'a créé aucun de ces plug-ins malveillants. OpenSourceMalware, qui a examiné la version 2.1.313, a constaté que le package npm officiel, la liste Open VSX et la version du Microsoft VS Code Marketplace n'étaient pas affectés. Cette distinction situe la compromission dans le canal de distribution de Cursor plutôt que dans l'extension elle-même — la caractéristique déterminante d'une attaque de la chaîne d'approvisionnement, où le chemin de confiance d'installation des logiciels devient le vecteur d'attaque.

Une backdoor insérée avant la véritable extension

L'attaquant a dissimulé un loader de 66 lignes au début du fichier JavaScript de l'extension, ce qui signifie que le code malveillant s'exécutait avant l'extension légitime. Comme l'a expliqué OpenSourceMalware :

« L'utilisateur n'a pas besoin de démarrer une conversation Claude. Le chargement du module de l'extension suffit. »

Une fois activé, le code collectait des informations sur l'ordinateur ainsi que sur les types d'identifiants présents sur celui-ci — une étape d'inventaire importante, car les machines des développeurs ont souvent accès aux dépôts de code source, aux infrastructures cloud et aux pipelines de déploiement. Il générait également une clé SSH nommée svc-telemetry et tentait d'établir un tunnel inverse vers 134.209.82.225, tout en envoyant simultanément des données de la machine via HTTP sur le port 8099.

Cursor a indiqué que les tentatives d'utilisation du SSH échouaient généralement sans privilèges administrateur. Néanmoins, la clé espionne et les scripts de persistance peuvent demeurer sur l'ordinateur, et le code pouvait continuer à collecter et transmettre des informations sur la machine.

Pourquoi la désinstallation peut ne pas suffire

Cursor a supprimé le logiciel malveillant, fermé temporairement son marketplace, vérifié d'autres extensions et travaillé avec l'hébergeur pour mettre hors ligne le serveur de l'attaquant. Cela ne signifiait pas pour autant que les ordinateurs affectés étaient en sécurité. Cursor a averti dans ses recommandations de sécurité :

« La désinstallation de l'extension peut ne pas suffire — le payload dépose des scripts de persistance autonomes qui continuent de s'exécuter. »

Parmi ces scripts de persistance figurent un LaunchAgent sur macOS et une tâche planifiée sur Windows. Cursor a conseillé aux développeurs concernés de supprimer la clé SSH svc-telemetry et d'exécuter les scripts de nettoyage de l'entreprise. Les développeurs doivent utiliser un appareil de confiance distinct pour modifier tout identifiant accessible depuis l'ordinateur affecté. Toute personne ayant installé les versions concernées devrait vérifier que ces artefacts ont bien disparu, même après la désinstallation de l'extension.

Pourquoi ce cas s'inscrit dans un schéma propre à 2026

L'incident Cursor fait partie d'un problème plus vaste : les attaquants ciblent de plus en plus les outils que les développeurs utilisent et auxquels ils font confiance. La Cloud Security Alliance a rendu compte de la campagne TrapDoor, qui impliquait plus de 34 packages malveillants insérant des instructions cachées dans les fichiers de configuration des assistants IA. Parallèlement, la campagne GlassWorm a utilisé des extensions dormantes pour cibler les identifiants et les portefeuilles de cryptoactifs des développeurs ; Cryptopolitan a précédemment rapporté l'existence des 73 extensions de ce type identifiées par Socket. Ce qui distingue le cas Cursor, c'est l'emplacement : les versions compromises sont apparues sur le marketplace exploité par le fournisseur de l'outil lui-même, plutôt que sur une liste tierce.

Le problème dépasse le cadre des extensions. Sonatype a identifié plus de 454 600 nouveaux packages malveillants en 2025 — des conclusions que Cryptopolitan a également couvertes concernant les bibliothèques npm empoisonnées. Il s'agissait d'attaques distinctes, sans lien confirmé entre leurs auteurs.

La confiance devient un poste de dépense dans les contrats d'entreprise

La menace croissante est évidente à mesure que l'utilisation des outils IA par les développeurs augmente. Selon Octoverse de GitHub, l'activité des développeurs a augmenté à mesure que les systèmes IA gagnent en popularité. Dans l'enquête Stack Overflow 2026, 80 % des répondants ont déclaré utiliser des outils IA une heure par jour ou plus, tandis que 48 % ont indiqué ne faire confiance au contenu généré par l'IA que si sa validité est facile à vérifier.

Pour les entreprises, l'usage croissant des outils IA soulève de nouvelles préoccupations de sécurité. Les entreprises pourraient commencer à exiger des contrôles de marketplace plus rigoureux, la preuve que les extensions proviennent de sources légitimes et des contrôles d'accès plus stricts. Elles pourraient également attendre des fournisseurs qu'ils réagissent plus rapidement en cas de faille de sécurité. Ces mesures de sécurité pourraient constituer un coût supplémentaire de l'adoption des outils IA — encore s'agit-il de coûts potentiels plutôt que de pertes financières réelles liées à l'incident Cursor.

Source : Cryptopolitan