Cursor видалив шкідливу версію розширення Claude Code від Anthropic зі свого ринку розширень після того, як виявив, що пакет було змінено для встановлення постійного бекдору SSH на машинах розробників. У повідомленні про безпеку, опублікованому 29 жовтня, Cursor сказав, що троянський пакет — зазначений як Anthropic.claude-code версії 2.1.313 — не був розроблений Anthropic, і що постраждали не більше 5000 користувачів. За даними Reuters, компанія звертається безпосередньо до цих користувачів.

Це розголошення є різким нагадуванням про те, що розробники інструментів кодування штучного інтелекту, яким зараз довіряють свій вихідний код, облікові дані та доступ до оболонки, самі є цілями ланцюжка поставок. Щоб дізнатися більше про тиск безпеки, який створюється навколо інструментів для розробників штучного інтелекту, перегляньте висвітлення індустрії штучного інтелекту.

Двогодинне вікно розповсюдження

Відповідно до хронології Cursor, шкідлива версія розширення була доступна на його ринку приблизно між 2:27 ранку за тихоокеанським часом і 13:35 ночі. 29 жовтня за тихоокеанським часом — вікно близько одинадцяти годин. Протягом цього періоду будь-який розробник, який встановлював або оновлював до версії 2.1.313 розширення Claude Code, отримував підроблений пакет, а не код, створений Anthropic.

Cursor заявив, що видалив шкідливу версію з ринку відразу після виявлення та заблокував подальше розповсюдження. Тоді компанія пішла ще далі, тимчасово закривши весь свій ринок розширень через те, що вона назвала великою обережністю.

Що зробило шкідливе розширення

Команда безпеки Cursor задокументувала поведінку розширення з незвичайними подробицями. Після встановлення пакет запускав код, який намагався встановити постійний бекдор у кілька етапів:

  • Reconnaissance. Розширення зібрало ім’я хоста машини, ім’я користувача, операційну систему, архітектуру, шлях до домашнього каталогу, назви змінних середовища, робочі каталоги, налаштовану електронну пошту Git та публічну IP-адресу.
  • Введення ключа SSH. Він намагався додати контрольований зловмисником ключ SSH до файлу `authorized_keys` машини, увімкнути локальну службу SSH і відкрити зворотний тунель SSH назад до сервера, контрольованого зловмисником.
  • Стійкість. Фонові сценарії повторювали зворотний тунель приблизно кожні 60 секунд. У macOS зловмисне програмне забезпечення намагалося зробити тунель постійним через LaunchAgent; у Windows він спробував зареєструвати заплановане завдання, що виконується як SYSTEM, із резервним сценарієм запуску.
  • Beaconing. Заражена машина повідомила деталі хоста та статус бекдору через запит HTTP POST до кінцевої точки `/beacon` на порту 8099.

Чому збиток може бути обмеженим

Є два важливі пом'якшувальні фактори. По-перше, для ввімкнення локальної служби SSH потрібні права адміністратора, яких шкідливе розширення не має на більшості машин macOS і Windows. Cursor зазначив, що за винятком дуже незвичайних обставин, коли редактор запускався з правами адміністратора, помилки в шкідливому коді призвели до невдачі цього кроку, тобто зловмисник, ймовірно, не міг увійти через тунель на цих хостах. Однак розширенню вдалося додати ключ SSH зловмисника, встановити свої механізми збереження та надіслати деталі хоста на сервер зловмисника.

По-друге, інфраструктура зловмисника тепер офлайн. Cursor сказав, що він співпрацював із хмарним провайдером, який розміщує сервер команд і керування, щоб зняти його, тому зворотна оболонка та маяк деталей хоста більше не функціонують.

Компанія також заявила, що не має доказів того, що будь-які інші версії розширення або офіційні канали розповсюдження Anthropic постраждали.

Закриття Marketplace, аудит і відновлення

Відповідь Cursor вийшла за межі видалення єдиного поганого пакета. Компанія заявила, що провела повний аудит доступу до торгової площадки та підтвердила, що жодні інші розширення не були підроблені, змінила свої ключі, перебудувала інфраструктуру торгової площадки та повернула її онлайн. Розробників, які встановили або оновили до версії 2.1.313 під час вікна експозиції, настійно рекомендуємо дотримуватися кроків усунення та індикаторів компрометації, що охоплюють діяльність SSH, файли та механізми збереження та активність процесів, які Cursor опублікував разом зі своїм повідомленням.

Попередження для екосистеми інструментів ШІ

Цей інцидент показує, як економіка розробки за допомогою штучного інтелекту змінила обчислення для зловмисників. Одна троянізована версія популярного розширення, яка діяла протягом кількох годин, потенційно охопила тисячі робочих станцій розробників — машин, які зазвичай містять вихідний код, хмарні облікові дані та доступ до робочих систем.

Він також підкреслює різницю між офіційними каналами розповсюдження та сторонніми ринками. Розширення Claude Code від Anthropic розповсюджується через встановлені канали, але Cursor керує власним ринком для свого редактора на основі коду VS, і саме його список було скомпрометовано. Оскільки помічники кодування штучного інтелекту стають стандартним обладнанням у всій індустрії програмного забезпечення, цілісність реєстрів, які їх розповсюджують, стає власним периметром безпеки, який до цього тижня перевіряти відносно небагато організацій думали.

Для 5000 постраждалих користувачів безпосереднім пріоритетом є перевірка контрольного списку виправлення Cursor. Для всіх інших цей епізод є причиною переглянути, які розширення мають глибокий доступ до свого середовища розробки, і двічі подумати, перш ніж дозволити оновленню встановлюватися без звуку.
---

Будьте попереду ШІ

Отримуйте останні новини штучного інтелекту, аналіз і прориви — усе в одному місці.

Читати більше новин AI →