Cursor удалила скомпрометированное расширение Claude Code из своего маркетплейса 29 октября после того, как исследователи обнаружили, что вредоносные версии плагина устанавливали SSH-бэкдор. По оценкам, затронутыми могут быть около 5 000 пользователей. Проблема не касалась ИИ-модели Anthropic Claude: вредоносное ПО попало к разработчикам через маркетплейс расширений Cursor.

Две отравленные сборки оставались доступными одиннадцать часов

Две скомпрометированные версии Anthropic.claude-code — 2.1.312 и 2.1.313 — стали доступны для загрузки в маркетплейсе Cursor для Windows и macOS. Согласно уведомлению Cursor, они оставались доступными около одиннадцати часов 29 октября — с 2:27 до 13:35 по тихоокеанскому времени.

Ни один из вредоносных плагинов не был создан Anthropic. OpenSourceMalware, изучивший версию 2.1.313, установил, что официальный пакет npm, листинг Open VSX и версия в Microsoft VS Code Marketplace не были затронуты. Это различие указывает на то, что компрометация произошла в канале дистрибуции Cursor, а не в самом расширении — отличительная черта атаки на цепочку поставок, когда доверенный путь установки ПО становится вектором атаки.

Бэкдор, встроенный перед настоящим расширением

Злоумышленник скрыл загрузчик из 66 строк в начале JavaScript-файла расширения, то есть вредоносный код выполнялся до легитимного расширения. Как поясняет OpenSourceMalware:

«Пользователю не нужно начинать разговор с Claude. Достаточно загрузки модуля расширения».

После активации код собирал информацию о компьютере и типах присутствующих на нем учетных данных — этап инвентаризации, который имеет значение, поскольку машины разработчиков часто имеют доступ к исходным репозиториям, облачной инфраструктуре и конвейерам развертывания. Он также генерировал SSH-ключ с именем svc-telemetry и пытался создать обратный туннель к 134.209.82.225, одновременно отправляя данные об устройстве по HTTP на порт 8099.

Cursor сообщила, что попытки использования SSH обычно завершались неудачей без прав администратора. Тем не менее, шпионский ключ и скрипты закрепления могут оставаться на компьютере, и код мог продолжать собирать и передавать информацию о машине.

Почему удаление может быть недостаточным

Cursor удалила вредоносное ПО, временно закрыла свой маркетплейс, проверила другие расширения и совместно с хостинг-провайдером отключила сервер злоумышленника. Это не означало, что затронутые компьютеры безопасны. Cursor предупредила в своих рекомендациях по безопасности:

«Удаление расширения может быть недостаточным — полезная нагрузка оставляет автономные скрипты закрепления, которые продолжают работать».

Примеры таких скриптов закрепления — LaunchAgent на macOS и назначенное задание на Windows. Cursor посоветовала затронутым разработчикам удалить SSH-ключ svc-telemetry и запустить скрипты очистки компании. Разработчики должны использовать отдельное доверенное устройство для смены любых учетных данных, доступных с затронутого компьютера. Всем, кто установил затронутые версии, следует убедиться, что эти артефакты удалены, даже после удаления расширения.

Почему это вписывается в картину 2026 года

Инцидент с Cursor — часть более масштабной проблемы: злоумышленники все чаще атакуют инструменты, которые разработчики используют и которым доверяют. Cloud Security Alliance сообщила о кампании TrapDoor, в рамках которой более 34 вредоносных пакетов внедряли скрытые инструкции в файлы конфигурации ИИ-ассистентов. Тем временем кампания GlassWorm использовала «спящие» расширения для атак на учетные данные и криптокошельки разработчиков; Cryptopolitan ранее сообщала о 73 таких расширениях, выявленных Socket. Особенность случая с Cursor — в месте атаки: скомпрометированные сборки появились в маркетплейсе, управляемом самим поставщиком инструмента, а не в стороннем листинге.

Проблема выходит за рамки расширений. Sonatype выявила более 454 600 новых вредоносных пакетов в 2025 году — эти выводы о отравленных npm-библиотеках также освещала Cryptopolitan. Это были отдельные атаки без подтвержденных связей между их исполнителями.

Доверие становится статьей расходов в корпоративных контрактах

Растущая угроза очевидна на фоне роста использования ИИ-инструментов разработчиками. По данным Octoverse от GitHub, активность разработчиков выросла по мере популяризации ИИ-систем. Согласно опросу Stack Overflow 2026 года, 80% респондентов заявили, что используют ИИ-инструменты час в день и более, при этом 48% доверяют сгенерированному ИИ контенту только тогда, когда его корректность легко проверить.

Для бизнеса растущее использование ИИ-инструментов порождает новые проблемы безопасности. Компании могут начать требовать более строгих проверок маркетплейсов, подтверждения того, что расширения происходят из легитимных источников, и более жесткого контроля доступа. Они также могут ожидать от поставщиков более быстрой реакции на нарушения безопасности. Эти меры безопасности могут стать еще одной статьей расходов при внедрении ИИ-инструментов — хотя эти затраты остаются потенциальными, а не фактическими финансовыми потерями от инцидента с Cursor.

Источник: Cryptopolitan