Un Claude Code fals es cola a la botiga de Cursor

Onze hores amb una còpia enverinada

Cursor, l'editor de codi amb IA d'Anysphere, empresa propietat de SpaceX des del 14 d'agost de 2026, es basa en VS Code, l'editor de Microsoft, i té el seu propi mercat d'extensions. El 29 d'octubre, entre les 10.27 i les 21.35, hora peninsular, aquest mercat va servir una versió manipulada de Claude Code, l'agent de programació (coding agent) d'Anthropic, l'empresa que desenvolupa Claude.

Segons l'avís de seguretat de Cursor, les versions afectades són la 2.1.312 i la 2.1.313 d'Anthropic.claude-code, per a Windows i macOS. «Aquestes versions malicioses de l'extensió no les va desenvolupar Anthropic», escriu l'empresa, que assegura que no afecta cap altra extensió ni la resta dels seus productes.

Cursor va actualitzar l'avís el 30 d'octubre a les 19.30, hora peninsular, per aclarir quines versions estaven afectades i actualitzar els indicadors. No dona cap xifra d'afectats; els «fins a 5.000» desenvolupadors infectats de què parla The Register, citant veus del sector, no els ha confirmat ningú.

Una porta del darrere a mig muntar

Segons Cursor, la còpia falsa intentava instal·lar una porta del darrere persistent a través de SSH (Secure Shell), el protocol amb què s'administren ordinadors a distància. Afegia una clau de l'atacant al fitxer authorized_keys, on l'ordinador desa les claus autoritzades per entrar-hi, i intentava activar el servei SSH local i obrir un túnel invers cap al seu servidor.

Per sobreviure als reinicis s'instal·lava com a LaunchAgent a macOS i com a tasca programada a Windows, i tornava a provar el túnel cada 60 segons, més o menys.

El pas decisiu fallava gairebé sempre. Activar el servei SSH exigeix permisos d'administrador, «que l'extensió maliciosa no té en la majoria dels ordinadors macOS i Windows», escriu Cursor, i errors del mateix codi el feien fracassar llevat que Cursor s'hagués obert com a administrador. En aquests ordinadors, segons l'empresa, l'atacant no hi va poder entrar.

La resta sí que va passar: l'extensió va deixar la clau, va instal·lar la persistència i va enviar les dades de l'ordinador. Cursor va treballar amb el proveïdor de núvol que allotjava el servidor de l'atacant per desconnectar-lo.

El que sí que es va endur: la fitxa de l'ordinador

Segons Cursor, l'extensió enviava el nom de l'ordinador i de l'usuari, el sistema operatiu i l'arquitectura, la ruta de la carpeta personal, els directoris de treball, el correu configurat a Git, la IP pública i els noms de les variables d'entorn. Els noms, no els valors.

Tot i així, Cursor recomana renovar, des d'un sistema de confiança, les credencials i les sessions accessibles des dels ordinadors afectats: que la recollida fos limitada «no descarta un accés posterior a credencials a través de la porta del darrere».

Com saber si t'ha tocat

Afecta qui va instal·lar o actualitzar a la 2.1.312 o la 2.1.313 des del mercat de Cursor, a macOS o Windows, en aquelles hores. La comprovació ràpida que proposa Cursor és buscar la clau de l'atacant, etiquetada svc-telemetry.

A macOS, al terminal: grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted". Si respon «svc-telemetry key found», l'ordinador està afectat. Per a Windows, l'avís inclou l'ordre equivalent de PowerShell.

Si hi apareix, Cursor demana aïllar l'ordinador, netejar-lo amb els seus scripts i valorar reinstal·lar-lo. Desinstal·lar l'extensió pot no ser suficient: queden scripts de persistència que continuen funcionant sols, com un LaunchAgent anomenat com.apple.sysmond a macOS o una tasca programada anomenada SysMon a Windows.

Anthropic: no va ser als nostres sistemes

Felix Rieseberg, de l'equip tècnic d'Anthropic, va sortir al pas a X, segons recull The Register, diari digital britànic de tecnologia: «Treballem amb Cursor en aquest incident, però no va ser una intrusió als sistemes d'Anthropic ni als portàtils dels nostres empleats. Un actor maliciós va fer servir l'accés al mercat de Cursor per publicar una còpia manipulada de l'extensió de Claude Code, que nosaltres no vam fer ni vam publicar. Les versions dels nostres canals oficials no estan afectades, i això només afecta els usuaris de Cursor».

Segons The Register, el primer a detectar-ho va ser Phorion, un proveïdor de detecció i resposta en endpoints (EDR, endpoint detection and response), i Cursor va coincidir amb la seva anàlisi que el paquet tenia un error crític.

Cap de les dues empreses no ha explicat com va arribar la còpia al mercat oficial. Cursor diu que la va retirar en detectar-la, va tancar tot el mercat «per precaució», va comprovar que cap altra extensió no estava manipulada, va renovar les seves claus i el va tornar a obrir.

Octubre negre: almenys nou plataformes en un mes

El de Cursor no és un cas aïllat. Wiz, empresa de seguretat al núvol propietat de Google des del març de 2026, va publicar el 30 d'octubre la seva anàlisi «Octubre negre»: almenys nou plataformes per a desenvolupadors d'IA han comunicat incidents aquest mes.

Les causes que declaren no coincideixen, i Wiz ho diu sense embuts: «no hi ha cap vulnerabilitat ni cap dependència única que uneixi aquests atacs». El que comparteixen és l'objectiu: segons Wiz, tots els informes públics descriuen atacs dirigits a les variables d'entorn desades, sobretot les que donen accés a models d'IA.

Tres plataformes parlen d'indicis d'un atac d'«eixam d'agents» (agent swarm), i dues, d'un intent de destil·lació. Zeabur, una plataforma de desplegament, tancarà per l'incident.

Dues claus robades, una fartanera de Claude

Wiz diu que ha vist el pas següent: claus d'empreses robades en una d'aquestes bretxes i utilitzades a Amazon Bedrock, el servei d'Amazon Web Services per fer servir per API models de diverses empreses, Claude inclòs. En els seus dos casos, el primer ús va arribar menys de 30 minuts després del robatori: una crida de prova que va demanar Claude Fable 5.1, va fallar i va passar a Opus 5.5, que sí que va respondre.

Dies després va arribar la fartanera. Segons Wiz, els dos casos sumen probablement més de 100.000 dòlars a preu de llista, amb un perfil que «s'assembla al trànsit revenut d'agents de programació». Wiz va trobar aquestes claus en mans de webs que revenen accés barat a models i que les van provar, tot i que no pot demostrar que siguin al darrere del robatori ni de la fartanera.

Un enllaç de ChatGPT podia obrir els teus xats privats

Segons The Hacker News, web de notícies de ciberseguretat, l'empresa de seguretat Parameter va demostrar que un enllaç compartit de ChatGPT preparat per un atacant podia executar el seu codi a la sessió de qui l'obrís i llegir-ne les converses privades.

Parameter va avisar el 18 d'octubre pel programa de recompenses per errors d'OpenAI, que va corregir l'error vuit dies després i el va classificar com a P1, la seva categoria més greu.