I en utveckling som absolut inte förvånar någon som någonsin har muttrat "visst, auto-uppdateringen kommer inte att förråda mig", så fick ett officiellt VS Code-tillägg för Anthropics Claude-modell en backdoor och hotade så många som 5 000 utvecklares maskiner, enligt flera källor på fredagen. Anthropic har för sin del hittills vägrat att varna kunder om incidenten – förmodligen i enlighet med den tidshonorerade företagsprincipen att om man inte nämner intrånget så är det mer en vibe än en kris.

Det komprometterade paketet var ett VS Code-tillägg tillgängligt på marknadsplatsen för Cursor, en tillverkare av AI-assisterade utvecklarverktyg, sade företaget på fredagen. Den skadliga versionen, 2.1.313, påverkade därefter "som mest 5 000 användare", förmodligen när de antingen laddade ner den eller deras system automatiskt hämtade och installerade den – för inget säger "modern mjukvara" som en funktion som installerar dina problem åt dig.

Anthropic släppte version 2.1.314 flera timmar efter att den tidigare versionen blev tillgänglig på Cursor, enligt den oberoende forskaren Kevin Beaumont. Både Beaumont och CTO:n och medgrundaren av säkerhetsföretaget Phorian sade att version 2.1.313 distribuerades via Anthropics officiella konto på Cursor. Hittills har varken Cursor eller Anthropic förklarat hur angriparna fick kontroll över kontot – en detalj som känns som att den kanske skulle vara värd, säg, ett blogginlägg.

"Det var en leveranskedjekompromiss där angriparen fick tillgång till den officiella distributionskanalen", sade Phorians CTO och medgrundare Luke Roberts till Ars. "Den skadliga versionen 2.1.313 publicerades på det officiella Anthropic-kontot och ersatte därmed 2.1.312. Tillägg uppdateras automatiskt i Cursor som standard, men användare kan konfigurera detta i inställningarna." Phorian har mer information här – förmodligen i ett dokument med titeln "Saker du önskar att du hade vetat innan".

Anthropic har ännu inte utfärdat något offentligt meddelande om incidenten till kunder. Företagets kommunikationsstrategi verkar vara modellerad efter tankeexperimentet "om ett träd faller i skogen", förutom att trädet är en backdoor och skogen är din laptop.

Cursor sade att det skadliga tillägget försöker installera en persistent SSH-backdoor med hjälp av en tillagd SSH-nyckel kontrollerad av angriparen, aktivera den lokala SSH-tjänsten och öppna en omvänd SSH-tunnel. Koden skrevs för att fungera på Windows, macOS och Linux – ett beundransvärt engagemang för plattformsoberoende kompatibilitet, om inte annat. Eftersom Cursor-tillägg körs med behörigheter från verktygets integrerade utvecklingsmiljö, skulle den backdoorade versionen sannolikt få tillgång till lokala filer, källkod och utvecklarverktyg när den väl installerats. Med andra ord hade den fritt spelrum.

Phorion sade att stölden av variabelnamn gjorde det möjligt för operatören att snabbt inventera molnuppgifter och API-token som lagrats på en komprometterad enhet, troligen för att kunna prioritera vilka maskiner som skulle attackeras i uppföljningsattacker. Effektivt! Nästan professionellt. Man skulle till och med kunna kalla det "företagsklassat".

Buggar i den skadliga koden för Windows och macOS hindrade backdoor från att fungera i vissa fall. Phorion sade att trots kodfelen "är skadlig programvara fortfarande ett betydande hot som installerar persistens och skickar signaler om värdrekognosering tillbaka till operatören". Så angriparna var slarviga, men inte tillräckligt slarviga – en tröstande mellanväg.

Cursor sade att företagets personal arbetade med molnleverantören som hostade servern som det omvända skalet anslöt till, så att infekterade enheter inte längre kunde nå den. Personalen tog också bort den backdoorade versionen från marknadsplatsen och blockerade ytterligare distribution. Företaget stängde också av VSCode Marketplace för att rotera nycklar, granska åtkomstkontroller och bekräfta att inga andra tillägg komprometterats. Marknadsplatsen är nu öppen igen – så du kan gå tillbaka till att ladda ner saker med den traditionella mängden förtroende.

Det är fortfarande oklart varför Anthropic inte offentligt varnar kunder för hotet och varför det och Cursor inte