Ars Technica relatează că o versiune malițioasă a extensiei Anthropic pentru VS Code a ajuns la utilizatorii Cursor. Fereastra de instalare a fost de circa 11 ore, iar cel mult 5.000 de utilizatori au fost afectați. O cercetare anterioară a arătat că Auto Mode din Claude Code poate fi deturnat. Ambele cazuri duc la aceeași concluzie: izolarea.
Joi, 29 octombrie 2026, o versiune malițioasă a extensiei Anthropic pentru VS Code a fost publicată în marketplace-ul Cursor. Ars Technica a relatat cazul pe 30 octombrie. Cursor a spus că versiunea 2.1.313 a afectat „cel mult 5.000 de utilizatori”. Potrivit articolului, oricine a instalat sau a actualizat extensia în acea zi, între 5:27 și 16:35 (ora ET), ar trebui să se considere afectat.
Cu două luni înainte, pe 26 august 2026, cercetătorul din spatele Embrace The Red a publicat o cercetare care descrie cum Claude Code în Auto Mode poate fi dirijat să ruleze codul unui atacator. Cauzele celor două cazuri nu au legătură. Împreună, ele descriu o singură problemă: instrumentele de programare cu AI rulează cu drepturile dezvoltatorului, iar controalele din jurul lor sunt mai slabe decât accesul pe care îl au.
Ce s-a întâmplat cu extensia
Versiunea malițioasă a apărut prin contul oficial Anthropic din Cursor. Cercetătorul independent Kevin Beaumont a spus că Anthropic a publicat versiunea 2.1.314 după câteva ore. Luke Roberts, CTO și cofondator al firmei de securitate Phorian, a numit incidentul o compromitere de tip supply-chain, în care atacatorul a obținut acces la canalul oficial de distribuție. El a adăugat că în Cursor extensiile se actualizează automat în mod implicit, deși utilizatorii pot schimba asta din setări.
Nici Cursor, nici Anthropic nu au explicat cum a ajuns atacatorul să controleze contul. Ars relatează că Anthropic nu a transmis o notificare publică clienților și că nicio companie nu a răspuns la întrebările publicației.
Potrivit Cursor, extensia încerca să:
- colecteze detalii despre gazdă și utilizator: hostname, nume de utilizator, sistem de operare, calea directorului home, numele variabilelor de mediu, directoare de lucru, adresa de e-mail din Git și IP-ul public;
- adauge o cheie SSH controlată de atacator, să pornească serviciul SSH local și să deschidă un tunel SSH invers. Cursor a spus că acest pas eșua, din cauza erorilor din codul malițios, cu excepția cazurilor neobișnuite în care instrumentul rula cu drepturi de administrator;
- facă tunelul persistent printr-un LaunchAgent pe macOS sau printr-o sarcină programată pe Windows, cu reîncercări la circa 60 de secunde;
- raporteze înapoi printr-un HTTP POST la /beacon, pe portul 8099.
Phorian a spus că, prin colectarea numelor variabilelor de mediu, operatorul putea inventaria credențialele cloud și token-urile API de pe o mașină, probabil pentru a alege ținte pentru atacuri ulterioare. Erorile din codul pentru Windows și macOS au oprit backdoor-ul în unele cazuri. Phorian l-a numit totuși o amenințare serioasă, fiindcă instalează persistență și trimite informații de recunoaștere înapoi la operator.
Cursor a spus că a lucrat cu furnizorul de hosting pentru a opri serverul, a retras versiunea compromisă și a închis marketplace-ul pentru a schimba cheile, a audita controalele de acces și a verifica celelalte extensii. Marketplace-ul a fost redeschis.
Potrivit Ars, fiindcă extensiile Cursor rulează cu permisiunile IDE-ului, versiunea cu backdoor ar fi avut probabil acces la fișierele locale, la codul sursă și la uneltele dezvoltatorului după instalare.
Aceasta este evaluarea Ars privind expunerea, iar cuvântul „probabil” arată că e prudentă. Pentru o echipă de securitate, asta contează. O extensie nu este o aplicație izolată într-un sandbox. Este cod care poate rula cu accesul dezvoltatorului vostru.
Cercetarea despre Auto Mode
Auto Mode înlocuiește cererile de aprobare din partea unui om cu un clasificator de siguranță. Cercetătorul spune că este modul de pornire implicit în Claude Code din mijlocul lunii august. El descrie un lanț în care o cerere de a rezuma un site îl face pe Claude să descarce o arhivă ZIP, să refuze rularea unui binar inclus, să-și scrie propriul decodor în Python și să-l ruleze în folderul extras. Un fișier struct.py malițios din acel folder înlocuiește modulul standard Python când se importă base64, iar codul atacatorului se execută.
El raportează succes în 3 din 5 rulări pentru o variantă și până la 4 din 5 pentru alta și spune că sunt eșantioane mici, nu o rată universală. Tratați-le ca rezultatele unui singur cercetător.
El pune aceste rezultate față în față cu afirmația unui furnizor. Spune că Boris Cherny, de la Anthropic, a scris că apărările în straturi pot reduce injecția indirectă de prompt pe atacuri nemaivăzute la aproximativ zero, și a distribuit un grafic dintr-un test al unui furnizor, Trajectory Labs, cu 0,00% rată de succes a atacurilor pentru Opus 5 în Auto Mode, pe 72 de scenarii rulate de zece ori fiecare. Cercetătorul descrie evaluarea ca fiind comandată de Anthropic. Lanțul lui nu era în acel set. În cuvintele lui, atât benchmark-ul, cât și un exploit funcțional pot fi adevărate în același timp.
El spune că Anthropic a închis raportul ca „Informative” și că poziția a fost că funcționa conform designului. Așa cum o redă el, poziția Anthropic este că Auto Mode e o funcție de confort, cu un clasificator care încearcă să prindă cât poate, fără garanții de securitate, iar adevărata graniță este izolarea la nivel de sistem de operare și controlul traficului de ieșire din rețea. Aceasta este relatarea lui despre răspuns, nu o declarație publică a Anthropic.
Ce au în comun cele două cazuri
Incidentul cu extensia arată că un cont de publicare de încredere poate livra cod ostil pe mașini care se actualizează automat. Cercetarea despre Auto Mode arată că un clasificator de aprobare poate fi ocolit printr-un lanț de pași inofensivi luați separat. În ambele cazuri, paguba depinde de ce poate atinge contul dezvoltatorului: SSH, credențiale cloud, token-uri, cod sursă.
Întrebările rămase deschise sunt concrete. Cum decide organizația voastră ce extensii pot fi instalate, cine fixează versiunile și sunt activate actualizările automate? Pe ce mașini stau credențiale cloud de lungă durată, în variabile de mediu sau în fișiere? Are voie vreun agent să ruleze comenzi fără aprobarea unui om și, dacă da, unde?
Ce înseamnă pentru planurile voastre
Săptămâna aceasta, verificați dacă cineva care a instalat extensia Anthropic pentru VS Code din Cursor pe 29 octombrie se află în fereastra afectată și folosiți indicatorii de compromitere publicați de Cursor și Phorian. Apoi stabiliți politica: fixați versiunile extensiilor sau dezactivați actualizarea automată pe stațiile dezvoltatorilor, nu lăsați credențiale cloud de lungă durată pe stații și rulați agenții de programare în medii izolate, cu trafic de ieșire din rețea restricționat. În mediile reglementate, hotărâți în scris dacă modurile cu aprobare automată sunt permise. Un clasificator nu este o graniță.
Surse
- Ars Technica Anthropic VS code extension on Cursor backdoored for nearly 12 hours · 30 octombrie 2026
- embracethered.com Breaking Claude Code Opus 5 Auto Mode · Embrace The Red · 27 august 2026
Briefing documentat și scris de sistemul editorial SKYLOGIQ: un model AI care scrie și un model AI care verifică faptele, cu o coadă de verificare umană pentru tot ce refuză editorul. Sursele sunt listate mai sus. Cum se face Briefing-ul
Versiunea în română e adaptată automat după originalul în engleză și verificată de un al doilea model AI. Originalul în engleză