Cursor potwierdza incydent bezpieczeństwa i dystrybucję złośliwego rozszerzenia Claude Code

securitybeztabu.pl 9 godzin temu

Wprowadzenie do problemu / definicja

Cursor potwierdził incydent bezpieczeństwa, który doprowadził do dystrybucji złośliwych wersji rozszerzenia Claude Code w marketplace powiązanym z ekosystemem VS Code. Sprawa ma szczególne znaczenie dla branży cyberbezpieczeństwa, ponieważ łączy w sobie elementy kompromitacji łańcucha dostaw, wycieku poświadczeń oraz próbę uzyskania trwałego dostępu do stacji roboczych deweloperów.

To przykład ataku, w którym przestępcy nie muszą bezpośrednio łamać zabezpieczeń końcowego użytkownika. Wystarczy przejęcie zaufanego kanału dystrybucji oprogramowania, aby złośliwy kod trafił do środowiska pracy programistów wraz z pozornie legalną aktualizacją.

W skrócie

Według ujawnionych informacji atak rozpoczął się od przejęcia klucza dostępowego używanego przez zewnętrznego dostawcę infrastruktury AI. Napastnicy wykorzystali go do odczytu danych historycznych, w których znajdowały się ślady pracy agentów kodujących oraz nie w pełni zredagowane poświadczenia.

Następnie, korzystając z pozyskanych danych, uzyskali dostęp do wybranych usług SaaS i opublikowali złośliwe wersje rozszerzenia Anthropic.claude-code oznaczone jako 2.1.312 oraz 2.1.313. Zagrożenie mogło objąć do 5 tysięcy użytkowników, a złośliwe pakiety były dostępne przez około 11 godzin.

wektor początkowy: przejęty klucz partnera technologicznego,
eskalacja: wykorzystanie danych historycznych i sekretów,
cel: dystrybucja malware przez zaufany marketplace,
skutek: próba instalacji trwałego backdoora SSH.

Kontekst / historia

Incydent wpisuje się w szerszy trend ataków wymierzonych w platformy deweloperskie, usługi AI i łańcuchy dostaw oprogramowania. Coraz częściej celem nie są wyłącznie serwery produkcyjne, ale również tokeny, klucze API, systemy telemetryczne i narzędzia wspierające tworzenie kodu.

W tym przypadku początkowy punkt wejścia był związany z podmiotem trzecim obsługującym trenowanie modeli oraz procesy inference. Napastnik miał uzyskać dostęp do klucza wydanego partnerowi i użyć go do odczytu danych z udostępnionego zasobu typu read-only. Choć sam dostęp był ograniczony, przechowywane tam artefakty zawierały informacje wystarczające do dalszej kompromitacji.

Z dostępnych ustaleń wynika, iż w zbiorze znajdowały się głównie ślady sesji z 2025 roku, pochodzące od użytkowników, którzy nie korzystali z trybu Privacy Mode. Część zapisów zawierała niezredagowane poświadczenia, co otworzyło drogę do ruchu bocznego i dalszej eskalacji uprawnień.

Firma podkreśliła jednocześnie, iż incydent nie dotyczył oficjalnych wydań aplikacji, kluczy podpisywania, produkcyjnych repozytoriów klientów ani aktywnego ruchu użytkowników. Nie oznacza to jednak niskiego ryzyka, ponieważ sam kanał dystrybucji rozszerzeń okazał się wystarczający do przeprowadzenia niebezpiecznej operacji.

Analiza techniczna

Technicznie był to wieloetapowy atak oparty na przejęciu poświadczeń i nadużyciu zaufanych mechanizmów dostarczania oprogramowania. Pierwszy etap obejmował pozyskanie klucza powiązanego z zewnętrznym dostawcą. Następnie napastnicy uzyskali dostęp do historycznych artefaktów zawierających dane operacyjne oraz sekrety API.

Po zdobyciu tych informacji możliwe było przejęcie dostępu do wybranych narzędzi SaaS wykorzystywanych przez Cursor. Według opublikowanych ustaleń narażone były między innymi archiwalne, nieprodukcyjne repozytoria kodu, ograniczone dane wsparcia technicznego, metryki użycia produktu, dane kontaktowe oraz część streszczeń konwersacji agentów kodujących.

Kluczowym momentem operacji było umieszczenie złośliwych kopii rozszerzenia Claude Code bezpośrednio w warstwie cache obsługującej marketplace rozszerzeń Cursor. To istotny szczegół, ponieważ wskazuje, iż atakujący nie musieli przejmować pełnej kontroli nad oryginalnym marketplace’em. Wystarczyło wykorzystanie wewnętrznego elementu odpowiedzialnego za dostarczanie paczek do użytkowników końcowych.

Zmodyfikowane rozszerzenia zawierały złośliwy kod JavaScript. Jego zadaniem było zebranie informacji o systemie, dodanie kontrolowanego przez napastnika klucza SSH, próba aktywacji dostępu SSH oraz wdrożenie mechanizmów utrzymania trwałości.

Analizy wskazują jednak, iż błędy w implementacji mogły ograniczyć skuteczność backdoora, szczególnie w środowiskach Windows i macOS, gdzie SSH nie było wcześniej aktywne. Mimo to sam scenariusz pozostaje bardzo poważny, ponieważ pokazuje praktyczne nadużycie zaufanego rozszerzenia jako nośnika malware’u.

Konsekwencje / ryzyko

Najpoważniejszym ryzykiem była możliwość dostarczenia złośliwego kodu bezpośrednio do środowisk programistycznych. Dla organizacji oznacza to potencjalne przejęcie stacji roboczych, wyciek kodu źródłowego, kradzież sekretów oraz dalszy ruch boczny do repozytoriów, systemów CI/CD, chmur publicznych i usług produkcyjnych.

Szczególnie niepokojąca jest także ekspozycja danych historycznych związanych z użyciem narzędzi AI. Ślady sesji, telemetria, streszczenia konwersacji czy zgłoszenia do wsparcia mogą zawierać fragmenty kodu, dane operacyjne, tokeny lub poświadczenia. To pokazuje, iż interakcje z asystentami AI stają się nową klasą zasobów wrażliwych, które wymagają ochrony porównywalnej z klasycznymi systemami biznesowymi.

Incydent niesie również skutki reputacyjne i zgodnościowe. Organizacje korzystające z narzędzi AI dla deweloperów muszą zakładać, iż integracje z partnerami, dostawcami inferencji i marketplace’ami rozszerzeń realnie zwiększają powierzchnię ataku. choćby jeżeli źródło problemu znajduje się poza infrastrukturą klienta, skutki mogą dotknąć jego środowiska bezpośrednio.

Rekomendacje

Organizacje, których zespoły korzystają z Cursor lub podobnych narzędzi AI, powinny przede wszystkim ustalić, czy w okresie ekspozycji doszło do instalacji lub aktualizacji rozszerzenia Anthropic.claude-code do wersji 2.1.312 albo 2.1.313. Sama deinstalacja rozszerzenia nie powinna być uznawana za wystarczające działanie naprawcze.

W praktyce warto wdrożyć następujące kroki:

przeprowadzić pełną analizę stacji roboczych deweloperów pod kątem nieautoryzowanych kluczy SSH, zmian w konfiguracji usług SSH oraz mechanizmów persistence,
zrotować wszystkie sekrety, tokeny API i poświadczenia, które mogły być dostępne z zagrożonych hostów,
przejrzeć logi dostępu do repozytoriów, systemów CI/CD, środowisk chmurowych i narzędzi developerskich,
zweryfikować, czy w promptach, trace’ach lub zgłoszeniach supportowych nie przechowywano danych wrażliwych,
wzmocnić mechanizmy secret scanning oraz DLP dla repozytoriów, systemów wsparcia i danych telemetrycznych,
ograniczyć zaufanie do zewnętrznych marketplace’ów poprzez allowlisty, własne repozytoria pośredniczące i monitoring integralności pakietów,
stosować zasadę minimalnych uprawnień dla dostawców zewnętrznych, w tym krótkie czasy życia kluczy i ograniczenia sieciowe.

W dłuższej perspektywie potrzebne są także polityki bezpiecznego użycia asystentów AI. Powinny one obejmować korzystanie z trybów prywatności, zakaz przekazywania sekretów do promptów oraz kontrolę retencji danych treningowych i analitycznych.

Podsumowanie

Incydent Cursor pokazuje, iż ekosystem narzędzi AI dla programistów staje się pełnoprawnym celem ataków na łańcuch dostaw. Kompromitacja poświadczeń partnera, ekspozycja historycznych śladów aktywności oraz przejęcie ścieżki dystrybucji rozszerzenia stworzyły warunki do próby instalacji backdoora na urządzeniach deweloperów.

Najważniejsza lekcja jest jednoznaczna: marketplace’y rozszerzeń, trace’y agentów AI i integracje z dostawcami infrastruktury należy traktować jak krytyczne elementy powierzchni ataku. Ochrona tych obszarów wymaga takich samych kontroli bezpieczeństwa jak w przypadku systemów produkcyjnych.