Cursor ha rimosso dal proprio marketplace un'estensione Claude Code compromessa il 29 ottobre, dopo che i ricercatori hanno scoperto che versioni malevole del plug-in avevano installato un backdoor SSH. Si stima che fino a 5.000 utenti potrebbero essere stati coinvolti. La questione non riguardava il modello AI di Anthropic, Claude; il malware ha invece raggiunto gli sviluppatori tramite il marketplace di estensioni di Cursor.

Due build avvelenate inserite per undici ore

Due versioni compromesse di Anthropic.claude-code — 2.1.312 e 2.1.313 — sono state rese disponibili per il download sul marketplace di Cursor per Windows e macOS. Secondo l'avviso di Cursor, sono rimaste disponibili per circa undici ore il 29 ottobre, dalle 2:27 alle 13:35 ora del Pacifico.

Anthropic non ha creato nessuno dei due plug-in malevoli. OpenSourceMalware, che ha esaminato la versione 2.1.313, ha rilevato che il pacchetto npm ufficiale, l'elenco su Open VSX e la versione su Microsoft VS Code Marketplace non erano interessati. Questa distinzione colloca la compromissione nel canale di distribuzione di Cursor piuttosto che nell'estensione stessa — caratteristica distintiva di un attacco alla supply chain, in cui il percorso fidato per l'installazione del software diventa il vettore d'attacco.

Un backdoor anteposto all'estensione reale

L'attaccante ha nascosto un loader di 66 righe all'inizio del file JavaScript dell'estensione, il che significa che il codice malevolo veniva eseguito prima dell'estensione legittima. Come spiegato da OpenSourceMalware:

"L'utente non ha bisogno di avviare una conversazione con Claude. Il caricamento del modulo dell'estensione è sufficiente."

All'attivazione, il codice ha raccolto informazioni sul computer insieme ai tipi di credenziali presenti su di esso — un'operazione di censimento rilevante perché i computer degli sviluppatori hanno spesso accesso a repository di codice sorgente, infrastrutture cloud e pipeline di deployment. Ha inoltre generato una chiave SSH denominata svc-telemetry e ha tentato di creare un tunnel inverso verso 134.209.82.225, trasmettendo contemporaneamente i dati del dispositivo via HTTP sulla porta 8099.

Cursor ha dichiarato che i tentativi di utilizzare SSH in genere fallivano in assenza di privilegi di amministratore. Ciononostante, la chiave spyware e gli script di persistenza possono rimanere sul computer, e il codice poteva continuare a raccogliere e trasmettere informazioni sulla macchina.

Perché la disinstallazione potrebbe non bastare

Cursor ha rimosso il malware, ha temporaneamente chiuso il proprio marketplace, ha controllato le altre estensioni e ha collaborato con il provider di hosting per mettere offline il server dell'attaccante. Questo non significava che i computer interessati fossero al sicuro. Cursor ha avvertito nella propria guida alla sicurezza:

"La disinstallazione dell'estensione potrebbe non essere sufficiente — il payload rilascia script di persistenza autonomi che continuano a essere eseguiti."

Esempi di questi script di persistenza sono un LaunchAgent su macOS e un'attività pianificata su Windows. Cursor ha consigliato agli sviluppatori interessati di eliminare la chiave SSH svc-telemetry e di eseguire gli script di pulizia dell'azienda. Gli sviluppatori devono utilizzare un dispositivo separato e affidabile per modificare le credenziali accessibili dal computer interessato. Chiunque abbia installato le versioni compromesse dovrebbe verificare che tali elementi siano stati rimossi anche dopo la disinstallazione dell'estensione.

Perché rientra in uno schema del 2026

L'incidente di Cursor fa parte di un problema più ampio: gli attaccanti prendono sempre di più di mira gli strumenti che gli sviluppatori usano e di cui si fidano. La Cloud Security Alliance ha segnalato la campagna TrapDoor, che ha coinvolto oltre 34 pacchetti malevoli che inserivano istruzioni nascoste nei file di configurazione degli assistenti AI. Nel frattempo, la campagna GlassWorm ha utilizzato estensioni dormienti per colpire credenziali e wallet crypto degli sviluppatori; Cryptopolitan aveva già riferito sulle 73 estensioni di questo tipo identificate da Socket. Ciò che distingue il caso di Cursor è la posizione: le build compromesse sono apparse sul marketplace gestito dallo stesso fornitore dello strumento, anziché in un elenco di terze parti.

Il problema va oltre le estensioni. Sonatype ha identificato oltre 454.600 nuovi pacchetti malevoli nel 2025 — risultati di cui Cryptopolitan si è occupata riguardo alle librerie npm avvelenate. Si trattava di attacchi distinti, senza collegamenti confermati tra i loro autori.

La fiducia diventa una voce di costo nei contratti aziendali

La crescente minaccia è evidente man mano che aumenta l'uso di strumenti AI da parte degli sviluppatori. Secondo Octoverse di GitHub, l'attività degli sviluppatori è aumentata con la crescente popolarità dei sistemi AI. Nel sondaggio Stack Overflow 2026, l'80% degli intervistati ha dichiarato di utilizzare strumenti AI per un'ora al giorno o più, mentre il 48% ha affermato di fidarsi dei contenuti generati dall'AI solo se la loro validità è facilmente verificabile.

Per le aziende, la crescita dell'uso di strumenti AI porta nuove preoccupazioni di sicurezza. Le società potrebbero iniziare a richiedere controlli più rigorosi sui marketplace, prove che le estensioni provengano da fonti legittime e controlli di accesso più severi. Potrebbero inoltre aspettarsi che i fornitori rispondano più rapidamente in caso di violazioni della sicurezza. Queste misure di sicurezza potrebbero rappresentare un ulteriore costo dell'implementazione di strumenti AI — anche se si tratta di costi ancora potenziali, anziché di perdite finanziarie effettive derivanti dall'incidente di Cursor.

Fonte: Cryptopolitan