Anthropic niega infracción cuando la extensión de Claude Code manipulada afecta a los usuarios de Cursor

Una copia manipulada de la extensión Claude Code de Anthropic estuvo en el mercado de extensiones de Cursor durante aproximadamente 11 horas el jueves 29 de octubre. Llegó hasta 5.000 usuarios. Las versiones maliciosas intentaron instalar una puerta trasera SSH en las máquinas de los desarrolladores, dijo Cursor en un aviso de seguridad.

Anthropic dice que nadie violó sus propios sistemas. Una empresa de seguridad que estudió el ataque dice que la extensión salió a través de la cuenta oficial de Anthropic en Cursor. Ni Anthropic ni Cursor han dicho cómo obtuvo acceso el atacante.

Lo que encontró el cursor

Las versiones afectadas fueron 2.1.312 y 2.1.313 para Windows y macOS. Estuvieron en vivo aproximadamente desde las 2:27 am hasta la 1:35 pm, hora del Pacífico. Cursor, que SpaceX adquirido a principios de este añodijo Anthropic no desarrolló el código.

La extensión recopiló detalles sobre cada máquina y su usuario, incluido el nombre de host, el nombre de usuario, el correo electrónico de Git y la dirección IP pública. Luego intentó agregar la clave SSH del atacante y activar el servicio SSH de la computadora. También intentó abrir un túnel inverso al servidor del atacante.

Ese último paso necesita derechos de administrador, de los que carece la extensión en la mayoría de las máquinas macOS y Windows. Por lo tanto, normalmente fallaría, dijo Cursor. Pero la clave, los scripts de persistencia y la carga de datos aún se realizaron. Es posible que desinstalar la extensión no sea suficiente para eliminarlos.

Identificamos un incidente de seguridad que afectó a una extensión Claude Code VS Code modificada a la que se accede a través de nuestro mercado de extensiones Cursor IDE, lo que afectó a un máximo de 5000 usuarios. Esta versión maliciosa de la extensión no fue desarrollada por Anthropic. No afecta a otras extensiones descargadas de http://cursor.com/marketplace, Grok Bot, Grok o nuestros otros productos SpaceXSI.

En respuesta, esta tarde eliminamos nuestro mercado de extensiones, trabajamos con proveedores relevantes para neutralizar el malware y restablecimos el mercado después de confirmar que no hay más riesgos.

Si se ve afectado, revise las instrucciones de esta publicación de blog para comprender cómo encontrar el paquete malicioso y establecer una ruta para mitigar cualquier impacto potencial. Solicitamos a todos los clientes que actualicen a Claude Code para VS Code versión 2.1.314: https://cursor.com/blog/claude-code-extension-security-notice

Cursor (@cursor_ai) 30 de octubre de 2026

Cursor eliminó las versiones y cerró todo su mercado mientras verificaba las otras extensiones. Luego giró sus llaves y lo volvió a abrir. También desconectó el servidor del atacante. Ha publicado scripts para comprobar y eliminar la puerta trasera.

Antrópico: ‘no compilé ni publiqué’

Felix Rieseberg, miembro del cuerpo técnico de Anthropic, respondió en una publicación en X.

Estamos trabajando con Cursor en este incidente, pero no fue un compromiso de los sistemas de Anthropic ni de las computadoras portátiles de los empleados. Un actor malintencionado utilizó el acceso al mercado de Cursor para publicar una copia manipulada de la extensión Claude Code, que no creamos ni publicamos. Las versiones en nuestros canales oficiales no se ven afectadas y esto solo afecta a los usuarios de Cursor.

Félix Rieseberg (@felixrieseberg) 30 de octubre de 2026

La empresa de seguridad Phorion fue la primera en señalar el compromiso. Su cofundador y director de tecnología, Luke Roberts, dijo Ars Técnica que el atacante llegó al canal de distribución oficial.

«La versión maliciosa 2.1.313 se publicó en la cuenta oficial de Anthropic, reemplazando efectivamente a la 2.1.312», dijo Roberts a Ars.

El investigador independiente Kevin Beaumont hizo la misma observación, informó Dan Goodin para Ars. Las extensiones se actualizan automáticamente en Cursor de forma predeterminada, dijo Roberts. Cursor ha dicho a los usuarios que pasen a una versión limpia, 2.1.314.

El malware también envió los nombres de hasta 40 variables de entorno que coinciden con claves, tokens y secretos, pero no sus valores, descubrió Phorion. Eso le da al atacante una lista rápida de qué credenciales de nube se encuentran en cada máquina.

Los ataques a la cadena de suministro contra las herramientas de desarrollo han llegado paquetes npm este año, y los investigadores han advertido que las herramientas de codificación de IA podrían amplificar tales ataques.