La seguridad de la cadena de suministro de software volvió a quedar expuesta en uno de los entornos más sensibles para los desarrolladores: sus herramientas de programación.
El 29 de octubre, una versión maliciosa de la extensión Claude Code, el asistente de programación con IA de Anthropic, permaneció disponible durante aproximadamente 11 horas en el marketplace de Cursor, la plataforma de desarrollo impulsada por Inteligencia Artificial y propiedad de SpaceX.
El incidente fue detectado inicialmente por la firma de ciberseguridad Phorion, después de identificar actividad sospechosa en una computadora Mac perteneciente a uno de sus clientes. Tras recibir la alerta, Cursor retiró las versiones comprometidas, suspendió temporalmente su marketplace y publicó instrucciones de seguridad para los usuarios potencialmente afectados.
La investigación reveló una cadena de ataque diseñada para aprovechar la confianza de los desarrolladores en las extensiones distribuidas mediante plataformas oficiales:
- Publicación maliciosa: un atacante consiguió distribuir versiones manipuladas de la extensión Claude Code, identificadas como 2.1.312 y 2.1.313, a través del marketplace de Cursor. El código fue publicado bajo la identidad del complemento legítimo de Anthropic, aunque todavía no está claro cómo obtuvo el atacante acceso al canal de distribución.
- Despliegue de la puerta trasera: el componente incorporaba código JavaScript que se ejecutaba al cargar la extensión, sin necesidad de interacción adicional del usuario. Su objetivo era recopilar información del dispositivo, instalar una clave SSH controlada por el atacante y establecer un túnel de conexión remota persistente. Esto podría haber facilitado el acceso a código fuente, credenciales y otros recursos sensibles.
- El fallo de diseño del malware: varios errores de programación impidieron que la puerta trasera estableciera conexiones remotas en la mayoría de los equipos con Windows y macOS. Sin embargo, el código todavía podía instalar claves SSH, configurar mecanismos de persistencia y transmitir información del dispositivo. Por tanto, el fallo redujo el impacto potencial, pero no eliminó el riesgo para los sistemas afectados.
Anthropic desvincula sus sistemas del incidente
Tras las primeras especulaciones sobre una posible vulneración de la infraestructura de Anthropic, tanto la compañía como Cursor aclararon que no encontraron evidencias de una intrusión en los sistemas internos del laboratorio de Inteligencia Artificial.
Felix Rieseberg, integrante del equipo técnico de Anthropic, y David Dworken, especialista en seguridad de la compañía, aclararon públicamente que el incidente no involucró dispositivos de empleados ni infraestructura de Anthropic. Según explicaron, un actor malicioso utilizó el acceso al marketplace de Cursor para publicar una versión alterada de Claude Code que no había sido desarrollada ni distribuida por el laboratorio.
Asimismo, las versiones oficiales de la extensión distribuidas mediante los canales legítimos de Anthropic no resultaron afectadas. Microsoft también confirmó que los paquetes maliciosos no se distribuyeron a través de Visual Studio Marketplace ni del registro npm correspondiente a Claude Code.
Por su parte, Cursor informó que retiró los archivos comprometidos, renovó sus claves de acceso y reconstruyó el marketplace antes de restablecer el servicio. También colaboró con el proveedor de alojamiento del servidor utilizado por los atacantes para interrumpir sus comunicaciones.
El dilema del ecosistema: la ilusión de la verificación en marketplaces
Este incidente evidencia uno de los principales riesgos de la cadena de suministro de software: la confianza que los desarrolladores depositan en los marketplaces oficiales y en las extensiones aparentemente legítimas.
La rápida adopción de asistentes de programación basados en IA está impulsando la instalación de nuevas herramientas que operan directamente sobre entornos de desarrollo con acceso a repositorios, archivos y configuraciones sensibles. Cuando los mecanismos de publicación o verificación fallan, incluso una extensión reconocida puede convertirse en un vehículo para distribuir código malicioso.
El caso de Cursor demuestra que la procedencia aparentemente oficial de un complemento no garantiza su seguridad. Los desarrolladores deben verificar las versiones instaladas, limitar los permisos innecesarios y revisar las actualizaciones sospechosas. Además, Cursor advierte que desinstalar la extensión comprometida puede resultar insuficiente, debido a que los mecanismos de persistencia podrían permanecer activos en el sistema.
