Claude Code, l'assistent de programació d'Anthropic, es pot fer servir com a extensió dins dels editors de codi basats en VS Code, com Cursor, que té la seva pròpia botiga d'extensions. Aquestes botigues són un dels punts més delicats de la cadena de subministrament del programari: si s'hi cola una actualització falsa, arriba sola als ordinadors dels programadors que tenen les actualitzacions automàtiques activades.
Segons The Hacker News, que cita els investigadors d'OpenSourceMalware, el 29 d'octubre la botiga de Cursor va distribuir la versió 2.1.313 de l'extensió amb l'identificador oficial d'Anthropic, no pas com una extensió falsa a part. Al principi del codi s'hi havia afegit un carregador de 66 línies que, en obrir-se l'editor, afegia una clau SSH de l'atacant als accessos autoritzats de l'ordinador amb el nom «svc-telemetry», intentava activar l'accés remot, obria un túnel cap a un servidor extern i hi enviava l'adreça IP, el nom de l'equip i de l'usuari, el correu de Git i els noms (no els valors) de fins a 40 variables d'entorn relacionades amb claus i contrasenyes. La versió va estar disponible d'unes 10.27 a les 21.35, hora de Barcelona.
Cursor afirma que hi van quedar exposats com a màxim 5.000 usuaris, que els avisarà directament i que la versió maliciosa no la va fer Anthropic; va tancar temporalment la botiga per retirar-la. Anthropic ja ha publicat la versió 2.1.314 a Open VSX i a la botiga de VS Code de Microsoft. Als afectats, els experts els recomanen aïllar l'ordinador, esborrar la clau SSH i les tasques programades que deixa l'atac i renovar totes les credencials i sessions. Que un atac així arribi per l'eina d'IA que el programador fa servir cada dia, i amb l'identificador legítim, mostra fins a quin punt aquests assistents s'han convertit en un objectiu.
Encara no se sap com els atacants van aconseguir publicar l'actualització a la botiga de Cursor. Fins ara no s'ha detectat cap segona fase de l'atac, però el túnel obert podia permetre a l'atacant executar ordres o copiar fitxers mentre no es netegés la màquina. Les dades sobre l'abast són les que ha donat Cursor i no s'han pogut contrastar de manera independent.