В Anthropic утверждают, что их собственные системы никто не взламывал. Однако компания по кибербезопасности, изучившая атаку, говорит, что расширение было опубликовано через официальный аккаунт Anthropic в Cursor. Ни Anthropic, ни Cursor не сообщили, как злоумышленник получил доступ.
Что обнаружила Cursor
Затронуты версии 2.1.312 и 2.1.313 для Windows и macOS. Они были доступны примерно с 2:27 до 13:35 по тихоокеанскому времени. Cursor, которую SpaceX приобрела в начале этого года, заявила, что код разработан не Anthropic.
Расширение собирало сведения о каждом компьютере и его пользователе, включая имя хоста, имя пользователя, электронную почту Git и публичный IP-адрес. Затем оно пыталось добавить SSH-ключ злоумышленника и включить на компьютере службу SSH. Кроме того, оно пыталось открыть обратный туннель к серверу атакующего.
Для последнего шага нужны права администратора, которых у расширения на большинстве компьютеров с macOS и Windows нет. Поэтому, по словам Cursor, обычно эта попытка заканчивалась неудачей. Но ключ, скрипты для закрепления в системе и выгрузка данных всё равно срабатывали. Простого удаления расширения может оказаться недостаточно, чтобы от них избавиться.
Мы выявили инцидент безопасности, связанный с модифицированным расширением Claude Code для VS Code, доступным через маркетплейс расширений нашей среды разработки Cursor IDE; он затронул не более 5 000 пользователей. Эта вредоносная версия расширения не была разработана Anthropic. Инцидент не затрагивает другие расширения, загруженные с http://cursor.com/marketplace, а также Grok Bot, Grok и другие наши продукты SpaceXSI.
В ответ мы сегодня днём отключили наш маркетплейс расширений, совместно с соответствующими провайдерами нейтрализовали вредоносное ПО и восстановили работу маркетплейса, убедившись, что дальнейшего риска нет.
Если вы пострадали, ознакомьтесь с инструкциями в этой записи блога, чтобы узнать, как найти вредоносный пакет и устранить возможные последствия. Мы просим всех клиентов обновиться до Claude Code для VS Code версии 2.1.314: https://cursor.com/blog/claude-code-extension-security-notice
Cursor (@cursor_ai) 30 октября 2026 года
Cursor удалила эти версии и закрыла весь маркетплейс на время проверки остальных расширений. Затем компания сменила ключи и вновь открыла его. Также она добилась отключения сервера злоумышленника. Cursor опубликовала скрипты для проверки наличия и удаления бэкдора.
Anthropic: «не создавали и не публиковали»
Феликс Ризеберг, сотрудник технического штата Anthropic, ответил в публикации в X.
Мы работаем с Cursor над этим инцидентом, но речь не идёт о взломе систем Anthropic или ноутбуков сотрудников. Злоумышленник воспользовался доступом к маркетплейсу Cursor, чтобы опубликовать модифицированную копию расширения Claude Code, которую мы не создавали и не публиковали. Версии в наших официальных каналах не затронуты, проблема касается только пользователей Cursor.
Felix Rieseberg (@felixrieseberg) 30 октября 2026 года
Первой о компрометации сообщила компания по кибербезопасности Phorion. Её сооснователь и технический директор Люк Робертс рассказал Ars Technica, что злоумышленник получил доступ к официальному каналу распространения.
«Вредоносная версия 2.1.313 была опубликована в официальном аккаунте Anthropic и фактически заменила 2.1.312», — сказал Робертс изданию.
К такому же выводу пришёл независимый исследователь Кевин Бомонт, сообщил Дэн Гудин в материале для Ars. По словам Робертса, в Cursor расширения по умолчанию обновляются автоматически. Cursor призвала пользователей перейти на чистую версию 2.1.314.
Как выяснила Phorion, вредоносная программа также отправляла названия до 40 переменных окружения, соответствующих ключам, токенам и секретам, — но не их значения. Это даёт злоумышленнику быстрый список облачных учётных данных, хранящихся на каждом компьютере.
В этом году атаки на цепочки поставок инструментов для разработчиков уже затронули пакеты npm, а исследователи предупреждают, что ИИ-инструменты для программирования могут усилить подобные атаки.
Опубликовано 31 октября 2026 - 04:27 Наверх
