29 октября Cursor удалил из своего маркетплейса скомпрометированное расширение Claude Code после того, как исследователи обнаружили в нём SSH-бэкдор. По оценкам, вредоносные сборки могли затронуть около 5000 пользователей. Проблема не связана с самой моделью Anthropic Claude: вредонос распространялся именно через маркетплейс расширений Cursor.
Две вредоносные версии Anthropic.claude-code 2.1.312 и 2.1.313 были доступны для Windows и macOS около 11 часов 29 октября — с 2:27 до 13:35 по тихоокеанскому времени. Anthropic не создавала эти сборки. Как установили специалисты OpenSourceMalware, официальный npm-пакет, список Open VSX и версия в Microsoft VS Code Marketplace не пострадали.
Злоумышленник разместил 66-строчный загрузчик в начале JavaScript-файла расширения, поэтому вредоносный код запускался раньше легитимного. Пользователю не требовалось начинать диалог с Claude — достаточно было загрузки модуля. После активации код собирал информацию о компьютере и типах доступных учётных данных, генерировал SSH-ключ svc-telemetry и пытался создать обратный туннель на адрес 134.209.82.225. Данные о компьютере отправлялись по HTTP через порт 8099.
Cursor заявила, что попытки SSH-подключения обычно не проходили без прав администратора, однако шпионский ключ и скрипты автозапуска могли оставаться на машине. Компания удалила вредонос, временно закрыла маркетплейс, проверила другие расширения и совместно с хостинг-провайдером отключила сервер атакующего. При этом в Cursor предупредили: «Удаления расширения может быть недостаточно — payload оставляет отдельные persistence-скрипты, которые продолжают работать». На macOS это LaunchAgent, на Windows — запланированное задание. Пострадавшим разработчикам рекомендовано удалить SSH-ключ svc-telemetry, запустить скрипты очистки Cursor и сменить учётные данные с отдельного доверенного устройства.
Параллельно в сообществе обсуждается новая техника обфускации JavaScript: в код внедряются многочисленные имена функций, связанных с биологическим оружием и ядами, что мешает ИИ-системам анализировать такой код из-за ограничений безопасности. Об этом сообщил комментатор @TheFlowHorse, а обнаружил метод исследователь veritas при разборе скриптов снятия отпечатков браузера. Это усиливает вопросы о безопасности кода и способности ИИ работать с потенциально опасными компонентами.
Случай с Cursor вписывается в более широкую тенденцию 2026 года: атаки всё чаще направлены на инструменты, которым доверяют разработчики. Кампания TrapDoor включала более 34 вредоносных пакетов, которые встраивали скрытые инструкции в конфигурационные файлы ИИ-ассистентов. Кампания GlassWorm использовала «спящие» расширения для кражи учётных данных и криптовалютных кошельков разработчиков. Ранее Socket выявил 73 подобных расширения, а Sonatype зафиксировала более 454 600 новых вредоносных пакетов за 2025 год.
По данным GitHub Octoverse, активность разработчиков растёт на фоне распространения ИИ-инструментов. Опрос Stack Overflow за 2026 год показал, что 80% респондентов используют ИИ-инструменты час в день и более, но 48% доверяют сгенерированному ИИ контенту только если его достоверность легко проверить. Для бизнеса это означает рост требований к проверке маркетплейсов, происхождению расширений и скорости реагирования на инциденты.
Прямых указаний на конкретные криптовалюты в этих сообщениях нет, однако для крипторынка общий фон выглядит скорее негативным: атаки на инструменты разработчиков повышают риски компрометации кошельков, ключей и учётных данных, а также подрывают доверие к использованию ИИ в разработке.
