Cursor usunął naruszone rozszerzenie Claude Code ze swojego marketplace'u 29 października, po tym jak badacze odkryli, że złośliwe wersje wtyczki zainstalowały backdoor SSH. Na atak mogło być narażonych około 5 000 użytkowników. Problem nie dotyczył modelu AI firmy Anthropic, Claude; zamiast tego złośliwe oprogramowanie dotarło do programistów przez marketplace rozszerzeń Cursora.

Dwie zatrute wersje pojawiły się na jedenaście godzin

Dwie naruszone wersje Anthropic.claude-code — 2.1.312 i 2.1.313 — zostały udostępnione do pobrania na marketplace'u Cursora dla Windows i macOS. Według komunikatu Cursora pozostały dostępne przez około jedenaście godzin 29 października, od 2:27 do 13:35 czasu pacyficznego.

Żadna ze złośliwych wtyczek nie została stworzona przez Anthropic. OpenSourceMalware, które zbadało wersję 2.1.313, ustaliło, że oficjalny pakiet npm, wpis w Open VSX oraz wersja w Microsoft VS Code Marketplace pozostały nietknięte. To rozróżnienie umieszcza naruszenie w kanale dystrybucji Cursora, a nie w samym rozszerzeniu — co jest cechą definiującą atak na łańcuch dostaw, w którym zaufana ścieżka instalacji oprogramowania staje się wektorem ataku.

Backdoor wstawiony przed właściwym rozszerzeniem

Atakujący ukrył 66-wierszowy loader na początku pliku JavaScript rozszerzenia, co oznaczało, że złośliwy kod uruchamiał się przed legalnym rozszerzeniem. Jak wyjaśniło OpenSourceMalware:

"Użytkownik nie musi rozpoczynać rozmowy z Claude. Wystarczy załadowanie modułu rozszerzenia."

Po aktywacji kod zbierał informacje o komputerze wraz z rodzajami poświadczeń obecnych na nim — krok inwentaryzacyjny, który ma znaczenie, ponieważ maszyny programistów często mają dostęp do repozytoriów kodu źródłowego, infrastruktury chmurowej i potoków wdrożeń. Kod wygenerował również klucz SSH o nazwie svc-telemetry i próbował zestawić odwrotny tunel do 134.209.82.225, jednocześnie wysyłając dane urządzenia przez HTTP na porcie 8099.

Cursor poinformował, że próby użycia SSH zazwyczaj kończyły się niepowodzeniem bez uprawnień administratora. Mimo to klucz szpiegującego oprogramowania i skrypty utrwalania mogą pozostać na komputerze, a kod mógł dalej zbierać i przesyłać informacje o maszynie.

Dlaczego odinstalowanie może nie wystarczyć

Cursor usunął złośliwe oprogramowanie, tymczasowo zamknął swój marketplace, sprawdził inne rozszerzenia i współpracował z dostawcą hostingu, aby wyłączyć serwer atakującego. Nie oznaczało to, że dotknięte komputery były bezpieczne. Cursor ostrzegł w swoich wytycznych bezpieczeństwa:

"Odinstalowanie rozszerzenia może nie być wystarczające — payload porzuca samodzielne skrypty utrwalania, które działają dalej."

Przykładami tych skryptów utrwalania są LaunchAgent w macOS i zadanie zaplanowane w Windows. Cursor zalecił dotkniętym programistom usunięcie klucza SSH svc-telemetry oraz uruchomienie skryptów czyszczących firmy. Programiści muszą użyć osobnego, zaufanego urządzenia, aby zmienić wszelkie poświadczenia dostępne z zainfekowanego komputera. Każdy, kto zainstalował dotknięte wersje, powinien potwierdzić, że te artefakty zniknęły, nawet po odinstalowaniu rozszerzenia.

Dlaczego to wpisuje się w wzorzec roku 2026

Incydent z Cursorem jest częścią większego problemu: atakujący coraz częściej celują w narzędzia, których programiści używają i którym ufają. Cloud Security Alliance poinformował o kampanii TrapDoor, która obejmowała ponad 34 złośliwe pakiety wstawiające ukryte instrukcje do plików konfiguracyjnych asystentów AI. Tymczasem kampania GlassWorm wykorzystywała uśpione rozszerzenia do atakowania poświadczeń i portfeli krypto programistów; Cryptopolitan wcześniej informował o 73 takich rozszerzeniach zidentyfikowanych przez Socket. W przypadku Cursora wyróżnia się lokalizacja: naruszone wersje pojawiły się na marketplace'ie prowadzonym przez samego dostawcę narzędzia, a nie w zewnętrznym katalogu.

Problem wykracza poza rozszerzenia. Sonatype zidentyfikował ponad 454 600 nowych złośliwych pakietów w 2025 roku — ustalenia, które Cryptopolitan również opisywał w kontekście zatrutych bibliotek npm. Były to odrębne ataki, bez potwierdzonych powiązań między ich sprawcami.

Zaufanie staje się pozycją w umowach enterprise

Rosnące zagrożenie jest widoczne wraz ze wzrostem wykorzystania narzędzi AI przez programistów. GitHub w raporcie Octoverse podaje, że aktywność programistów wzrosła wraz z popularnością systemów AI. W ankiecie Stack Overflow z 2026 roku 80% respondentów zadeklarowało korzystanie z narzędzi AI przez godzinę dziennie lub więcej, podczas gdy 48% ufa treściom generowanym przez AI tylko wtedy, gdy ich poprawność łatwo zweryfikować.

Dla firm rosnące użycie narzędzi AI przynosi nowe obawy dotyczące bezpieczeństwa. Firmy mogą zacząć wymagać silniejszych kontroli marketplace'ów, dowodów, że rozszerzenia pochodzą z legalnych źródeł, oraz ściślejszej kontroli dostępu. Mogą również oczekiwać szybszej reakcji dostawców na naruszenia bezpieczeństwa. Te środki bezpieczeństwa mogą być kolejnym kosztem wdrażania narzędzi AI — choć są to koszty potencjalne, a nie rzeczywiste straty finansowe wynikające z incydentu z Cursorem.

Źródło: Cryptopolitan