Una herramienta que miles de programadores podían instalar creyendo que procedía de Anthropic terminó convertida en una puerta de entrada para atacantes. Cursor confirmó que versiones modificadas maliciosamente de la extensión Claude Code circularon durante unas once horas en su mercado de extensiones y pudieron alcanzar a un máximo de 5.000 usuarios.
El incidente afecta a las versiones 2.1.312 y 2.1.313 de Anthropic.claude-code distribuidas desde el Cursor VS Code Extension Marketplace para Windows y macOS el 29 de octubre. Cursor recalca que esas versiones no fueron desarrolladas por Anthropic y que no encontró evidencias de que la distribución oficial de Claude Code u otras extensiones de su mercado hubieran sido alteradas.
UNA EXTENSIÓN CON UNA PUERTA TRASERA
El código malicioso no se limitaba a recopilar información básica. Según el aviso de seguridad publicado por Cursor, obtenía datos como el nombre del equipo y del usuario, sistema operativo, arquitectura, directorios de trabajo, correo configurado en Git, nombres de variables de entorno y dirección IP pública.
Después intentaba añadir a los archivos authorized_keys una clave SSH controlada por el atacante, activar el servicio SSH local y abrir un túnel inverso hacia infraestructura externa. También trataba de mantener ese acceso después de reiniciar la computadora mediante mecanismos de persistencia distintos en macOS y Windows.
La operación, sin embargo, tenía fallos. Cursor explicó que la activación del servicio SSH requería privilegios de administrador y que, salvo circunstancias poco habituales, esa parte del ataque fallaba. Eso redujo la capacidad del atacante para entrar remotamente en muchas máquinas, pero no elimina el riesgo: la extensión podía añadir la clave no autorizada, instalar componentes persistentes y transmitir información del equipo.
ONCE HORAS EN UN LUGAR DE CONFIANZA
La versión comprometida estuvo disponible aproximadamente desde las 2:27 de la madrugada hasta la 1:35 de la tarde, hora del Pacífico, del 29 de octubre. El problema es especialmente delicado porque el ataque utilizó un canal que los desarrolladores normalmente consideran confiable: el mercado de extensiones integrado en su entorno de programación.
Ese detalle convierte el episodio en una advertencia sobre la cadena de suministro del software. Un desarrollador puede proteger sus contraseñas y mantener actualizado su sistema y, aun así, quedar expuesto si instala una actualización aparentemente legítima que ha sido manipulada antes de llegar a su computadora.
Los equipos de desarrollo son además objetivos especialmente valiosos. Con frecuencia tienen acceso a repositorios privados, claves de servicios en la nube, infraestructura de producción y credenciales capaces de abrir otras puertas dentro de una organización.
CURSOR CERRÓ TODO EL MERCADO
Tras detectar el incidente, Cursor retiró inmediatamente las versiones maliciosas y detuvo su distribución. La empresa decidió cerrar temporalmente todo su mercado de extensiones mientras auditaba el acceso, rotaba sus propias claves y reconstruía la plataforma.
Cursor asegura que esa revisión no encontró otras extensiones manipuladas. También trabajó con el proveedor que alojaba el servidor utilizado por los atacantes para desconectarlo. Según la compañía, ese servidor ya no funciona, por lo que tanto el túnel remoto como el envío de información hacia esa infraestructura quedaron interrumpidos.
DESINSTALARLA PUEDE NO SER SUFICIENTE
La advertencia más importante para quienes instalaron las versiones afectadas es que borrar la extensión no necesariamente elimina todo lo que dejó en la computadora. El código podía crear archivos y mecanismos de persistencia independientes capaces de continuar ejecutándose.
Cursor recomienda a los usuarios que instalaron o actualizaron esas versiones durante la ventana afectada comprobar sus equipos con las herramientas de remediación publicadas por la propia compañía, aislar cualquier máquina que muestre señales de ejecución del código malicioso, eliminar la clave SSH no autorizada y los mecanismos persistentes y rotar credenciales y sesiones accesibles desde el dispositivo.
La empresa está contactando directamente a los usuarios que podrían haber resultado afectados.
EL RIESGO CRECE JUNTO A LAS HERRAMIENTAS DE IA
Claude Code forma parte de una nueva generación de asistentes capaces de trabajar directamente sobre proyectos de software. Su creciente integración en los entornos de programación hace que extensiones, complementos y agentes tengan cada vez más permisos y acceso a información sensible.
El incidente no demuestra que Claude Code haya sido comprometido por Anthropic. Precisamente ocurre lo contrario: la versión maliciosa se hizo pasar por una herramienta reconocida dentro de un canal de distribución externo. Pero sí demuestra hasta qué punto la confianza depositada en las herramientas de inteligencia artificial puede convertirse en un objetivo para ataques de cadena de suministro.
Para las empresas, el mensaje es incómodo. La seguridad ya no termina en proteger el código que desarrollan. También exige verificar las herramientas que utilizan para escribirlo.
