В маркетплейсе Cursor почти 11 часов распространялся бэкдор в Claude Code: заражённая версия 2.1.313 собирала данные о машине разработчика и пыталась поднять обратный SSH-туннель. Для команд, которые подключают AI-инструменты к рабочим репозиториям, это неприятное напоминание: доверенный значок в маркетплейсе ещё не заменяет контроль цепочки поставки.
Инцидент произошёл 29 октября. По данным The Register, вредоносная сборка расширения Claude Code для Visual Studio Code была доступна с 09:27 до 20:35 UTC. EDR-поставщик Phorion первым обратил на неё внимание. В обсуждении атаки фигурирует оценка до 5 тыс. затронутых разработчиков, однако точное число установок Cursor и Anthropic публично не подтвердили.
Встроенный в расширение код работал сразу на Windows, macOS и Linux. Он собирал имя пользователя, настроенный Git e-mail и публичный IP-адрес, затем отправлял эти сведения атакующему. Одновременно расширение добавляло SSH-ключ злоумышленника и механизм закрепления в системе. Главная цель была очевидна: создать туннель, через который можно получить удалённый доступ к машине разработчика.
У атаки оказался и технический изъян. На Windows и macOS запуск туннеля требовал административных прав, которых у скрипта в большинстве случаев не было. Это снижает вероятность полноценного удалённого доступа, но не отменяет инцидент: сбор данных, запись ключа и попытка закрепиться происходили независимо от успеха SSH-туннеля. Простое обновление расширения тоже не удаляет уже созданный механизм закрепления.
Anthropic отвергла версию о взломе собственных систем или ноутбуков сотрудников. Технический специалист компании Феликс Ризеберг заявил, что сторонний злоумышленник использовал доступ к маркетплейсу Cursor и разместил изменённую копию расширения, которую Anthropic не собирала и не публиковала. По позиции компании, официальные каналы распространения Claude Code не затронуты, а зона риска ограничена пользователями Cursor.
Cursor после обнаружения удалил вредоносную версию и временно отключил весь маркетплейс VS Code. Компания также проверила другие расширения, сменила собственные ключи и вместе с облачным провайдером заблокировала соединения с сервером атакующих. При этом обе стороны пока не объяснили публично, каким именно образом подменённый пакет оказался в официальном каталоге. Это самая важная часть истории: без неё нельзя понять, была ли скомпрометирована учётная запись издателя, инфраструктура маркетплейса или один из процессов публикации.
Для инженерных команд бэкдор в Claude Code — повод не ограничиваться срочным обновлением. Стоит проверить, устанавливалась ли версия 2.1.313 в указанный период, сверить созданные SSH-ключи и механизмы автозапуска, изучить сетевые логи и отозвать доступы, которые могли оказаться на рабочей станции. Особенно внимательно — машины с правами на production-инфраструктуру, CI/CD и приватные репозитории: Git e-mail и сведения о хосте сами по себе не дают доступ, но помогают атакующему точнее выбирать следующую цель.
Рынок AI-расширений для IDE растёт быстрее, чем зрелость их процессов поставки. Такие плагины получают доступ к исходному коду, токенам, терминалу и настройкам разработчика — то есть занимают в корпоративной среде гораздо более чувствительную позицию, чем обычное расширение интерфейса. История Cursor показывает, что проверять нужно не только репозиторий пакета, но и маршрут публикации, подписи, права издателей и реакцию на компрометацию. Пока Cursor не раскроет первопричину, бэкдор в Claude Code останется кейсом не столько про один неудачный пакет, сколько про уязвимость доверия к AI-инструментам в IDE.
