Cursor har tagit bort en skadlig version av Anthropics Claude Code-tillägg från sin förlängningsmarknad efter att ha upptäckt att paketet hade modifierats för att installera en beständig SSH-bakdörr på utvecklarmaskiner. I ett säkerhetsmeddelande publicerat den 29 oktober sa Cursor att det trojaniserade paketet – listat som Anthropic.claude-kod version 2.1.313 – inte utvecklades av Anthropic och att högst 5 000 användare påverkades. Enligt Reuters når företaget ut till dessa användare direkt.
Avslöjandet är en skakande påminnelse om att AI-kodningsverktygen som utvecklare nu litar på med sin källkod, autentiseringsuppgifter och skalåtkomst i sig själva är mål för leveranskedjan. För mer information om säkerhetstrycket kring AI-utvecklarverktyg, se vår AI-industritäckning.
Ett distributionsfönster på två timmar
Enligt Cursors tidslinje var den skadliga versionen av tillägget tillgänglig på dess marknadsplats mellan ungefär 02:27 PT och 13:35. PT den 29 oktober — ett fönster på cirka elva timmar. Under den perioden fick alla utvecklare som installerade eller uppdaterade till version 2.1.313 av Claude Code-tillägget det manipulerade paketet snarare än koden som producerats av Anthropic.
Cursor sa att den tog bort den skadliga versionen från marknaden omedelbart efter upptäckt och blockerade vidare distribution. Företaget gick sedan ett steg längre och stängde tillfälligt ner hela sin förlängningsmarknad på grund av vad det beskrev som ett överflöd av försiktighet.
Vad det skadliga tillägget gjorde
Cursors säkerhetsteam dokumenterade tilläggets beteende i ovanlig detalj. När det väl var installerat körde paketet kod som försökte etablera en beständig bakdörr genom flera steg:
- Rekognosering. Tillägget samlade in maskinens värdnamn, användarnamn, operativsystem, arkitektur, hemkatalogsökväg, miljövariabelnamn, arbetskataloger, konfigurerad Git-e-post och offentlig IP-adress.
- SSH-nyckelinjektion. Den försökte lägga till en angriparkontrollerad SSH-nyckel till maskinens `authorized_keys`-fil, aktivera den lokala SSH-tjänsten och öppna en omvänd SSH-tunnel tillbaka till en server som kontrolleras av angriparen.
- Persistens. Bakgrundsskript försökte igen den omvända tunneln ungefär var 60:e sekund. På macOS försökte skadlig programvara göra tunneln beständig genom en LaunchAgent; på Windows försökte den registrera en schemalagd uppgift som kördes som SYSTEM, med ett startskript som reserv.
- Beaconing. Den infekterade maskinen rapporterade värddetaljer och bakdörrsstatus via en HTTP POST-begäran till en `/beacon`-slutpunkt på port 8099.
Varför skadan kan vara begränsad
Det finns två viktiga förmildrande faktorer. För det första kräver aktivering av den lokala SSH-tjänsten administratörsrättigheter, vilket det skadliga tillägget inte har på de flesta macOS- och Windows-datorer. Cursor noterade att utanför mycket ovanliga omständigheter där redigeraren startades med administratörsbehörighet, orsakade fel i den skadliga koden att detta steg misslyckades - vilket innebär att angriparen sannolikt inte kunde logga in genom tunneln på dessa värdar. Tillägget lyckades ändå lägga till angriparens SSH-nyckel, installera dess persistensmekanismer och skicka värddetaljer till angriparens server.
För det andra är angriparens infrastruktur nu offline. Cursor sa att det fungerade med molnleverantören som var värd för kommando-och-kontrollservern för att ta ner den, så det omvända skalet och värddetaljfyren fungerar inte längre.
Företaget uppgav också att det inte har några bevis för att några andra versioner av tillägget eller Anthropics officiella distributionskanaler påverkades.
Avstängning, revision och återuppbyggnad av marknadsplatsen
Cursors svar gick längre än att ta bort det enda dåliga paketet. Företaget sa att det genomförde en fullständig granskning av marknadsplatsåtkomst och bekräftade att inga andra tillägg hade manipulerats, roterade dess nycklar, byggde om marknadsplatsens infrastruktur och förde tillbaka den online. Utvecklare som installerade eller uppdaterade till version 2.1.313 under exponeringsfönstret uppmanas att följa åtgärdsstegen och indikatorerna för kompromiss – som täcker SSH-aktivitet, filer och beständighetsmekanismer och processaktivitet – som Cursor publicerade tillsammans med sitt meddelande.
Ett varningsskott för AI Tooling Ecosystem
Händelsen illustrerar hur ekonomin för AI-assisterad utveckling har förändrat kalkylen för angripare. En enda trojaniserad version av ett populärt tillägg, live under några timmar, nådde potentiellt tusentals utvecklararbetsstationer - maskiner som vanligtvis har källkod, molnuppgifter och tillgång till produktionssystem.
Det belyser också skillnaden mellan officiella distributionskanaler och tredjepartsmarknadsplatser. Anthropics Claude Code-tillägg distribueras genom etablerade kanaler, men Cursor driver sin egen marknadsplats för sin VS Code-baserade redaktör, och det var marknadsplatsens notering som äventyras. När AI-kodningsassistenter blir standardutrustning inom mjukvaruindustrin, blir integriteten hos registren som distribuerar dem en säkerhetsperimeter i sig själv - en som fram till denna vecka trodde relativt få organisationer att granska.
För de upp till 5 000 berörda användarna körs den omedelbara prioriteten genom Cursors checklista för åtgärdande. För alla andra är avsnittet en anledning att se över vilka tillägg som har djup tillgång till sina utvecklingsmiljöer, och att tänka två gånger innan man låter en uppdatering installeras tyst.
---
Få de senaste AI-nyheterna, analyserna och genombrotten – allt på ett ställe.
Läs mer AI-nyheter →
