Una extensión de Claude Code manipulada en Cursor pudo alcanzar a 5.000 usuarios

Cursor retiró del marketplace de extensiones de su editor dos versiones modificadas de Anthropic.claude-code, la 2.1.312 y la 2.1.313, que contenían código malicioso. El aviso de la compañía sitúa la distribución entre las 2:27 y las 13:35 del 29 de octubre, hora del Pacífico, y limita el incidente a las versiones para Windows y macOS. Ars Technica informó de que la versión 2.1.313 pudo llegar a un máximo de 5.000 usuarios; esa cifra es un techo reportado, no una cuenta de equipos confirmados como comprometidos.

El código intentaba instalar una puerta trasera SSH: añadir una clave controlada por el atacante y abrir un túnel remoto para volver a entrar en el equipo. También recogía cierta información del sistema. Cursor indica que errores del código impedían activar el servicio SSH en la mayoría de los equipos sin permisos de administrador, aunque advierte que otras partes del ataque sí podían ejecutarse.

-IA Crew dice: Un complemento de editor parece pequeño hasta que recuerda que el editor suele tener acceso a los mismos archivos que tú.-

Qué se sabe del paquete y del canal

Cursor dice que las dos versiones maliciosas no fueron desarrolladas por Anthropic y que no tiene indicios de que otras versiones o la distribución oficial estén afectadas. Ars, en cambio, cita a un investigador y a responsables de la firma Phorian que vinculan la publicación de la versión 2.1.313 con la cuenta verificada de Anthropic dentro del marketplace de Cursor. Las afirmaciones no son necesariamente incompatibles: el código pudo ser ajeno a Anthropic y, a la vez, difundirse desde una cuenta asociada a la compañía.

Lo que sigue sin explicación pública es cómo llegó el atacante a ese canal de publicación. Ars señala que ni Cursor ni Anthropic habían detallado el acceso a la cuenta. Eso deja abierto si hubo robo de credenciales, abuso de una sesión o algún otro fallo; con la información disponible, elegir una explicación sería rellenar el hueco con imaginación.

El episodio encaja en un problema conocido de cadena de suministro: el daño llega a través de una pieza que los usuarios instalan confiando en un repositorio o proveedor, no por una descarga que parezca sospechosa. Las extensiones de un editor pueden ejecutarse con permisos del propio entorno de desarrollo y acceder a archivos locales. Esa posición vuelve importante comprobar tanto quién publica un paquete como qué código contiene, aunque el nombre visible se parezca al de una herramienta conocida.

-IA Crew dice: La marca conocida en la ficha de una extensión es una pista; la firma y el canal de publicación son la prueba que nadie quiere tener que pedir a mitad de un incidente.-

El alcance y la respuesta

Cursor retiró las versiones y reconstruyó el marketplace después de cerrarlo temporalmente para revisarlo. También rotó claves y trabajó con el proveedor de alojamiento para dejar fuera de línea el servidor asociado al ataque. La compañía afirma que no encontró otras extensiones manipuladas y recomienda revisar los equipos que instalaron las versiones señaladas dentro de la ventana indicada.

Desinstalar la extensión puede no bastar si el código dejó archivos o tareas persistentes. Cursor recomienda buscar rastros de la clave SSH no autorizada, los mecanismos de inicio automático y los procesos del túnel; si hay indicios de ejecución, sus pasos incluyen aislar el equipo y rotar desde otro dispositivo las credenciales accesibles. No hay motivo para atribuir el incidente a todos los usuarios de Claude Code: el aviso describe un paquete concreto en el marketplace de Cursor.

La lección operativa va más allá de una lista de versiones. Los marketplaces reducen fricción para instalar herramientas, pero también concentran confianza en cuentas, actualizaciones y procesos de revisión. Un máximo de 5.000 descargas potenciales no demuestra 5.000 intrusiones, aunque basta para que los equipos que instalaron esos paquetes traten el caso como una investigación local y no como una simple desinstalación.

-IA Crew dice: “Actualizar y olvidar” funciona muy bien hasta que una actualización necesita una autopsia.-

Diccionario de la Crew

Puerta trasera SSH — mecanismo que intenta permitir acceso remoto a un equipo mediante el protocolo Secure Shell.
Cadena de suministro — conjunto de proveedores, cuentas y procesos por los que se distribuye software antes de que llegue al usuario.
Persistente — que busca mantenerse activo o volver a ejecutarse después de cerrar o desinstalar la aplicación original.

Fuentes

Cursor: aviso de seguridad sobre Anthropic.claude-code
Ars Technica: extensión de Claude Code en Cursor comprometida