Cursor verwijderde op 29 oktober een gecompromitteerde Claude Code-extensie uit zijn marketplace nadat onderzoekers hadden ontdekt dat kwaadaardige versies van de plug-in een SSH-backdoor hadden geïnstalleerd. Naar schatting kunnen zo'n 5.000 gebruikers zijn getroffen. Het probleem had niets te maken met Anthropic's AI-model Claude; in plaats daarvan bereikte de malware ontwikkelaars via Cursor's extensie-marketplace.

Twee vergiftigde builds elf uur beschikbaar

Twee gecompromitteerde versies van Anthropic.claude-code — 2.1.312 en 2.1.313 — waren beschikbaar voor download in Cursor's marketplace voor Windows en macOS. Volgens Cursor's melding bleven ze op 29 oktober ongeveer elf uur beschikbaar, van 2:27 uur 's ochtends tot 13:35 uur Pacific time.

Anthropic heeft geen van beide kwaadaardige plug-ins gemaakt. OpenSourceMalware, dat versie 2.1.313 onderzocht, stelde vast dat het officiële npm-pakket, de Open VSX-vermelding en de versie in de Microsoft VS Code Marketplace niet waren aangetast. Dat onderscheid plaatst de inbreuk in Cursor's distribatiekanaal in plaats van in de extensie zelf — het kenmerk van een supply-chainaanval, waarbij het vertrouwde pad voor het installeren van software de aanvalsvector wordt.

Een backdoor vóór de echte extensie geplaatst

De aanvaller verstopte een loader van 66 regels aan het begin van het JavaScript-bestand van de extensie, waardoor de kwaadaardige code vóór de legitieme extensie werd uitgevoerd. Zoals OpenSourceMalware uitlegde:

"De gebruiker hoeft geen Claude-gesprek te starten. Het laden van de extensiemodule is voldoende."

Na activering verzamelde de code informatie over de computer en de soorten credentials die erop aanwezig waren — een inventarisatiestap die ertoe doet omdat ontwikkelmachines vaak toegang hebben tot broncode-repositories, cloudinfrastructuur en deployment-pijplijnen. De code genereerde ook een SSH-sleutel genaamd svc-telemetry en probeerde een reverse tunnel naar 134.209.82.225 op te zetten, terwijl tegelijkertijd apparaatgegevens via HTTP op poort 8099 werden verstuurd.

Cursor zei dat pogingen om SSH te gebruiken doorgaans mislukten zonder beheerdersrechten. Toch kunnen de spyware-sleutel en persistentiescripts op de computer achterblijven, en de code kon doorgaan met het verzamelen en versturen van informatie over de machine.

Waarom verwijderen mogelijk niet genoeg is

Cursor verwijderde de malware, sloot zijn marketplace tijdelijk, controleerde andere extensies en werkte met de hostingprovider samen om de server van de aanvaller offline te halen. Dat betekende niet dat getroffen computers veilig waren. Cursor waarschuwde in zijn securityrichtlijnen:

"Het verwijderen van de extensie is mogelijk niet voldoende — de payload installeert zelfstandige persistentiescripts die blijven draaien."

Voorbeelden van die persistentiescripts zijn een LaunchAgent op macOS en een geplande taak op Windows. Cursor adviseerde getroffen ontwikkelaars de svc-telemetry SSH-sleutel te verwijderen en de opschoonscripts van het bedrijf uit te voeren. Ontwikkelaars moeten een apart, vertrouwd apparaat gebruiken om alle credentials te wijzigen die vanaf de getroffen computer toegankelijk zijn. Wie de getroffen versies heeft geïnstalleerd, moet controleren dat die artefacten weg zijn, zelfs na het verwijderen van de extensie.

Waarom dit past in een patroon van 2026

Het Cursor-incident is deel van een groter probleem: aanvallers richten zich steeds meer op de tools die ontwikkelaars gebruiken en vertrouwen. De Cloud Security Alliance rapporteerde over de TrapDoor-campagne, waarbij meer dan 34 kwaadaardige pakketten verborgen instructies in configuratiebestanden van AI-assistenten plaatsten. Ondertussen gebruikte de GlassWorm-campagne slapende extensies om de credentials en cryptowallets van ontwikkelaars aan te vallen; Cryptopolitan berichtte eerder over de 73 dergelijke extensies die Socket identificeerde. Wat het Cursor-geval onderscheidt, is de locatie: de gecompromitteerde builds verschenen in de marketplace die door de toolleverancier zelf wordt beheerd, in plaats van in een externe vermelding.

Het probleem reikt verder dan extensies. Sonatype identificeerde in 2025 meer dan 454.600 nieuwe kwaadaardige pakketten — bevindingen die Cryptopolitan ook behandelde met betrekking tot vergiftigde npm-bibliotheken. Dit waren afzonderlijke aanvallen, zonder bevestigde verbanden tussen de daders.

Vertrouwen wordt een kostenpost in ondernemingscontracten

De groeiende dreiging is duidelijk zichtbaar nu het gebruik van AI-tools door ontwikkelaars toeneemt. GitHub's Octoverse stelt dat de activiteit van ontwikkelaars is gestegen naarmate AI-systemen populairder worden. In het Stack Overflow-onderzoek van 2026 zei 80% van de respondenten AI-tools een uur per dag of meer te gebruiken, terwijl 48% zei AI-gegenereerde inhoud alleen te vertrouwen als de geldigheid ervan gemakkelijk te verifiëren is.

Voor bedrijven brengt het groeiende gebruik van AI-tools nieuwe securityzorgen met zich mee. Bedrijven kunnen sterkere marketplace-controles eisen, bewijs dat extensies van legitieme bronnen afkomstig zijn en strengere toegangscontroles. Ze kunnen er ook van uit gaan dat leveranciers sneller reageren bij securityincidenten. Deze beveiligingsmaatregelen kunnen nog een kostenpost zijn bij de invoering van AI-tools — al zijn deze kosten nog potentieel in plaats van werkelijke financiële verliezen door het Cursor-incident.

Bron: Cryptopolitan