Cursor ha rimosso una versione dannosa dell'estensione Claude Code di Anthropic dal suo marketplace di estensioni dopo aver scoperto che il pacchetto era stato modificato per installare una backdoor SSH persistente sulle macchine degli sviluppatori. In un avviso di sicurezza pubblicato il 29 ottobre, Cursor ha affermato che il pacchetto trojanizzato - elencato come Anthropic.claude-code versione 2.1.313 - non è stato sviluppato da Anthropic e che sono stati colpiti al massimo 5.000 utenti. Secondo Reuters, l’azienda si rivolge direttamente a questi utenti.
La divulgazione è un promemoria stridente del fatto che gli strumenti di codifica AI di cui gli sviluppatori ora si fidano con il loro codice sorgente, le credenziali e l'accesso alla shell sono essi stessi obiettivi della catena di approvvigionamento. Per ulteriori informazioni sulle pressioni sulla sicurezza che si creano attorno agli strumenti per sviluppatori di intelligenza artificiale, consulta la nostra copertura del settore dell'intelligenza artificiale.
Una finestra di distribuzione di due ore
Secondo la cronologia di Cursor, la versione dannosa dell'estensione era disponibile sul suo mercato tra le 2:27 PT e le 13:35 PT circa. PT del 29 ottobre: una finestra di circa undici ore. Durante quel periodo, qualsiasi sviluppatore che installasse o aggiornasse alla versione 2.1.313 dell'estensione Claude Code riceveva il pacchetto manomesso anziché il codice prodotto da Anthropic.
Cursor ha affermato di aver rimosso la versione dannosa dal mercato immediatamente dopo averla rilevata e di averne bloccato l'ulteriore distribuzione. L'azienda ha poi fatto un ulteriore passo avanti, chiudendo temporaneamente l'intero mercato delle estensioni per quella che ha descritto come un'abbondanza di cautela.
Cosa ha fatto l'estensione dannosa
Il team di sicurezza di Cursor ha documentato il comportamento dell'estensione con dettagli insoliti. Una volta installato, il pacchetto eseguiva il codice che tentava di stabilire una backdoor persistente attraverso diverse fasi:
- Ricognizione. L'estensione raccoglieva il nome host, il nome utente, il sistema operativo, l'architettura, il percorso della home directory, i nomi delle variabili di ambiente, le directory di lavoro, l'e-mail Git configurata e l'indirizzo IP pubblico della macchina.
- Iniezione di chiave SSH. Ha tentato di aggiungere una chiave SSH controllata dall'aggressore al file `authorized_keys` della macchina, abilitare il servizio SSH locale e aprire un tunnel SSH inverso verso un server controllato dall'aggressore.
- Persistenza. Gli script in background riprovano il tunnel inverso ogni 60 secondi circa. Su macOS il malware ha tentato di rendere persistente il tunnel attraverso un LaunchAgent; su Windows, ha tentato di registrare un'attività pianificata in esecuzione come SYSTEM, con un fallback dello script di avvio.
- Beaconing. La macchina infetta ha segnalato i dettagli dell'host e lo stato della backdoor tramite una richiesta HTTP POST a un endpoint `/beacon` sulla porta 8099.
Perché il danno può essere limitato
Ci sono due importanti fattori attenuanti. Innanzitutto, l'attivazione del servizio SSH locale richiede i diritti di amministratore, che l'estensione dannosa non possiede sulla maggior parte dei computer macOS e Windows. Cursor ha notato che, al di fuori di circostanze molto insolite in cui l'editor veniva avviato con privilegi di amministratore, errori nel codice dannoso causavano il fallimento di questo passaggio, il che significa che probabilmente l'aggressore non poteva accedere attraverso il tunnel su quegli host. L'estensione è comunque riuscita ad aggiungere la chiave SSH dell'aggressore, a installare i suoi meccanismi di persistenza e a inviare i dettagli dell'host al server dell'aggressore.
In secondo luogo, l'infrastruttura dell'aggressore è ora offline. Cursor ha affermato di aver collaborato con il provider cloud che ospita il server di comando e controllo per disattivarlo, quindi la shell inversa e il beacon dei dettagli dell'host non sono più funzionanti.
La società ha inoltre dichiarato di non avere prove che siano state interessate altre versioni dell'estensione o i canali di distribuzione ufficiali di Anthropic.
Chiusura, verifica e ricostruzione del mercato
La risposta di Cursor è andata oltre la rimozione del singolo pacchetto difettoso. La società ha affermato di aver condotto un controllo completo sull'accesso al mercato e di aver confermato che nessun'altra estensione era stata manomessa, di aver ruotato le chiavi, di aver ricostruito l'infrastruttura del mercato e di averlo riportato online. Gli sviluppatori che hanno installato o aggiornato la versione 2.1.313 durante la finestra di esposizione sono invitati a seguire le fasi di riparazione e gli indicatori di compromissione (che coprono l'attività SSH, i file e i meccanismi di persistenza e l'attività dei processi) che Cursor ha pubblicato insieme al suo avviso.
Un avvertimento per l'ecosistema degli strumenti AI
L’incidente illustra come gli aspetti economici dello sviluppo assistito dall’intelligenza artificiale abbiano cambiato i calcoli degli aggressori. Una singola versione con trojan di una popolare estensione, attiva per poche ore, ha potenzialmente raggiunto migliaia di workstation degli sviluppatori, macchine che in genere contengono codice sorgente, credenziali cloud e accesso ai sistemi di produzione.
Evidenzia inoltre la differenza tra canali di distribuzione ufficiali e mercati di terze parti. L'estensione Claude Code di Anthropic è distribuita attraverso canali consolidati, ma Cursor gestisce il proprio mercato per il suo editor basato su VS Code ed è stato l'elenco di quel mercato ad essere compromesso. Man mano che gli assistenti di codifica basati sull’intelligenza artificiale diventano apparecchiature standard nel settore del software, l’integrità dei registri che li distribuiscono diventa un perimetro di sicurezza a sé stante, che, fino a questa settimana, relativamente poche organizzazioni pensavano di controllare.
Per i circa 5.000 utenti interessati, la priorità immediata è l'esecuzione della checklist di correzione di Cursor. Per tutti gli altri, l'episodio è un motivo per verificare quali estensioni hanno accesso approfondito ai propri ambienti di sviluppo e per pensarci due volte prima di consentire l'installazione silenziosa di un aggiornamento.
---
Ricevi le ultime notizie, analisi e scoperte sull'intelligenza artificiale, tutto in un unico posto.
Leggi altre notizie sull'AI →
