Cursor usunął złośliwą wersję rozszerzenia Claude Code firmy Anthropic ze swojego rynku rozszerzeń po odkryciu, że pakiet został zmodyfikowany w celu zainstalowania trwałego backdoora SSH na komputerach programistów. W nocie bezpieczeństwa opublikowanej 29 października Cursor stwierdził, że zaatakowany trojanem pakiet – oznaczony jako Anthropic.claude-code w wersji 2.1.313 – nie został opracowany przez firmę Anthropic i że dotyczyło to co najwyżej 5000 użytkowników. Według Reutersa firma kontaktuje się bezpośrednio z tymi użytkownikami.

Ujawnienie to jest wstrząsającym przypomnieniem, że twórcy narzędzi do kodowania AI, którym ufają, że ich kod źródłowy, dane uwierzytelniające i dostęp do powłoki same stanowią cele w łańcuchu dostaw. Więcej informacji na temat zagrożeń bezpieczeństwa związanych z narzędziami dla programistów sztucznej inteligencji znajdziesz w naszym omówieniu branży AI.

Dwugodzinne okno dystrybucji

Według harmonogramu Cursora złośliwa wersja rozszerzenia była dostępna na jego rynku między około 2:27 czasu PT a 13:35. PT 29 października – okno trwające około jedenastu godzin. W tym okresie każdy programista, który zainstalował lub zaktualizował do wersji 2.1.313 rozszerzenia Claude Code, otrzymał zmodyfikowany pakiet, a nie kod wyprodukowany przez firmę Anthropic.

Cursor stwierdził, że natychmiast po wykryciu usunął złośliwą wersję z rynku i zablokował dalszą dystrybucję. Następnie firma poszła o krok dalej, tymczasowo zamykając cały rynek rozszerzeń ze względu na, jak to określiła, dużą ostrożność.

Co zrobiło złośliwe rozszerzenie

Zespół ds. bezpieczeństwa Cursor udokumentował zachowanie rozszerzenia z niezwykłą szczegółowością. Po zainstalowaniu pakiet uruchamiał kod, który próbował ustanowić trwałego backdoora w kilku etapach:

  • Reconnaissance. Rozszerzenie zbiera nazwę hosta komputera, nazwę użytkownika, system operacyjny, architekturę, ścieżkę do katalogu domowego, nazwy zmiennych środowiskowych, katalogi robocze, skonfigurowany adres e-mail Git i publiczny adres IP.
  • Wstrzyknięcie klucza SSH. Próbowano dodać klucz SSH kontrolowany przez osobę atakującą do pliku „klucze_autoryzowane” na komputerze, włączyć lokalną usługę SSH i otworzyć odwrotny tunel SSH z powrotem do serwera kontrolowanego przez osobę atakującą.
  • Trwałość. Skrypty działające w tle ponawiały próbę odwrotnego tunelu mniej więcej co 60 sekund. W systemie macOS szkodliwe oprogramowanie próbowało utrwalić tunel za pośrednictwem LaunchAgenta; w systemie Windows próbował zarejestrować zaplanowane zadanie działające jako SYSTEM, z rezerwowym skryptem startowym.
  • Beaconing. Zainfekowana maszyna zgłosiła szczegóły hosta i stan backdoora poprzez żądanie HTTP POST do punktu końcowego `/beacon` na porcie 8099.

Dlaczego szkody mogą być ograniczone

Istnieją dwa ważne czynniki łagodzące. Po pierwsze, włączenie lokalnej usługi SSH wymaga uprawnień administratora, których złośliwe rozszerzenie nie posiada na większości komputerów z systemami macOS i Windows. Cursor zauważył, że poza bardzo nietypowymi sytuacjami, gdy edytor został uruchomiony z uprawnieniami administratora, błędy w złośliwym kodzie powodowały niepowodzenie tego kroku, co oznaczało, że osoba atakująca prawdopodobnie nie mogła zalogować się przez tunel na tych hostach. Rozszerzeniu udało się jednak dodać klucz SSH atakującego, zainstalować mechanizmy utrwalania i wysłać szczegóły hosta na serwer atakującego.

Po drugie, infrastruktura atakującego jest teraz offline. Cursor powiedział, że współpracował z dostawcą chmury obsługującym serwer dowodzenia i kontroli, aby go usunąć, więc odwrotna powłoka i sygnalizator szczegółów hosta nie działają już.

Firma oświadczyła również, że nie ma dowodów na to, że miało to wpływ na inne wersje rozszerzenia lub oficjalne kanały dystrybucji Anthropic.

Zamknięcie, audyt i odbudowa Marketplace

Odpowiedź kursora wykraczała poza usunięcie pojedynczego złego pakietu. Firma stwierdziła, że ​​przeprowadziła pełny audyt dostępu do rynku i potwierdziła, że ​​nie naruszono żadnych innych rozszerzeń, zmieniła klucze, przebudowała infrastrukturę rynku i przywróciła go do trybu online. Programistów, którzy zainstalowali lub zaktualizowali wersję 2.1.313 w okresie narażenia, zachęca się do przestrzegania kroków zaradczych i wskaźników naruszenia — obejmujących aktywność SSH, pliki i mechanizmy trwałości oraz aktywność procesów — które Cursor opublikował wraz z powiadomieniem.

Strzał ostrzegawczy dla ekosystemu narzędzi AI

Incydent ilustruje, jak ekonomika rozwoju wspomaganego sztuczną inteligencją zmieniła sposób myślenia atakujących. Pojedyncza trojanizowana wersja popularnego rozszerzenia, dostępna przez kilka godzin, potencjalnie dotarła do tysięcy stacji roboczych programistów — maszyn, które zazwyczaj przechowują kod źródłowy, dane uwierzytelniające w chmurze i dostęp do systemów produkcyjnych.

Podkreśla także różnicę pomiędzy oficjalnymi kanałami dystrybucji a zewnętrznymi platformami handlowymi. Rozszerzenie Claude Code firmy Anthropic jest dystrybuowane za pośrednictwem ustalonych kanałów, ale Cursor prowadzi własny rynek dla swojego edytora opartego na VS Code i to właśnie wpis na tym rynku został naruszony. W miarę jak asystenci kodowania AI stają się standardowym wyposażeniem w całej branży oprogramowania, integralność rejestrów, które je dystrybuują, staje się samodzielnym obszarem bezpieczeństwa – takim, którego do tego tygodnia stosunkowo niewiele organizacji myślało o audytowaniu.

W przypadku maksymalnie 5000 użytkowników, których dotyczy problem, bezpośrednim priorytetem jest sprawdzenie listy kontrolnej działań naprawczych Cursora. Dla wszystkich innych ten odcinek jest powodem do sprawdzenia, które rozszerzenia mają głęboki dostęp do ich środowisk programistycznych, i do zastanowienia się dwa razy, zanim pozwolisz na cichą instalację aktualizacji.
---

Wyprzedź sztuczną inteligencję

Otrzymuj najnowsze wiadomości, analizy i przełomowe informacje dotyczące sztucznej inteligencji — wszystko w jednym miejscu.

Przeczytaj więcej aktualności o sztucznej inteligencji →