Autorzy narzędzia Cursor, czyli zmodyfikowanej wersji Visual Studio Code dostosowanej do pracy z lokalnymi agentami AI, na swoim blogu poinformowali o wykryciu i zablokowaniu szkodliwych wersji rozszerzenia Claude Code. Z szerszą analizą techniczną możemy zapoznać się z kolei na stronie Microsoft. Po zainstalowaniu rozszerzenia wykonywało ono rekonesans środowiska użytkownika. Oprócz podstawowych informacji o systemie poszukiwało również zmiennych zawierających klucze czy sekrety do zewnętrznych usług.
Szczęście w tym, iż omawiane zagrożenie nie wysyłało treści wykradzionych danych, a jedynie nazwy powiązanych zmiennych. Niestety zakres jego działania był większy, bo rozszerzenie w następnej kolejności próbowało zainstalować serwer SSH, aby zapewnić atakującemu trwały dostęp do hosta użytkownika. Oczywiście bardzo wątpliwa byłaby sytuacja, w której zwykły komputer do pracy mógłby być osiągalny z zewnątrz i publicznie wystawiał serwer SSH. Ale i na to atakujący znalazł trywialne obejście.
Założeniem było zestawienie tunelu – reverse SSH forwarding – do maszyny będącej pod rzeczywistą kontrolą atakującego. Dzięki temu miał zapewnić sobie dostęp do komputera zainfekowanego użytkownika. Sposób skuteczny, bo firewall w systemie ofiary raczej nie zablokowałby ruchu na port 22 (domyślny port SSH; potrzebny do codziennej pracy), a jednocześnie atakującego nie interesowały w tym scenariuszu inne ograniczenia sieciowe. To komputer ofiary nawiązywał połączenie do zdalnego hosta, a dzięki „odwrotnemu tunelowi” tak naprawdę stawał się w pełni osiągalny poprzez SSH dla atakującego.
Plan autora złośliwego rozszerzenia nie był jednak idealny. Instalacja serwera SSH wymaga uprawnień administratora, a te nie są zwykle nadawane dla edytorów tekstu, takich jak właśnie Cursor. Pozostaje mieć nadzieję, iż uchroniło to zainfekowane ofiary przed zdecydowanie bardziej poważnymi konsekwencjami.
Liczba ofiar niestety jest spora, bo wynosi około 5000 użytkowników, którzy 29 października w godzinach 10:27-21:35 czasu polskiego pobrali zainfekowane wersje Claude Code. Microsoft podaje instrukcje, które pozwolą zweryfikować, czy nasz system został zainfekowany oraz metody usunięcia pozostawionych przez rozszerzenie artefaktów. Wspomnieć należy, iż systemy Microsoft, Anthropic ani marketplace Visual Studio Code nie zostały naruszone – podatny okazał się tylko proces publikacji wersji w marketplace Cursor, ale samych szczegółów incydentu nie znajdziemy w dostępnych źródłach.
O ile ten atak nie był spektakularny w swoich rezultatach, to jednak będzie można spodziewać się kolejnych o podobnej formule. Programowanie z użyciem agentów AI stało się już niemal podstawowym elementem pracy w branży IT. Zresztą użycie sztucznej inteligencji w ramach obowiązków służbowych nie jest ograniczone wyłącznie do zawodów informatycznych. Coraz lepsze modele AI znajdują zastosowanie także w innych, często krytycznych przemysłach. Dla atakujących szansa na zainfekowanie dużych organizacji jest warta ryzyka, a zdobycie istotnych danych może okazać się zwyczajnie opłacalne.
Przechowywanie dostępów do innych usług na urządzeniach programistów, administratorów, DevOpsów czy pozostałych osób zaangażowanych w rozwój systemów informatycznych jest standardem. Dlatego też przeprowadzenie ataku niesie za sobą duże prawdopodobieństwo odkrycia danych, które powinny pozostać poufne. Zdecydowanie trzeba zadbać o bezpieczeństwo i zachować zdrowy rozsądek, aby uniknąć utraty wrażliwych informacji o klientach.
Wykorzystanie AI w procesie tworzenia systemu przynosi wiele zalet, które są dostrzegalne zarówno przez programistów, osoby na stanowiskach kierowniczych, jak i samych klientów. Jednak choćby w tym nowoczesnym podejściu nie można zapominać o zasadach bezpieczeństwa. Podobnie z testowaniem nowych agentów, które najlepiej realizować w odseparowanych środowiskach – dobrym przykładem może być maszyna wirtualna, gdzie możemy przygotować kopię zawierającą wzorcowy stan systemu i którą możemy przywracać po zakończeniu naszych testów.
Mimo wszystko kolejny raz sprawdziła się prosta zasada ograniczenia uprawnień. W praktyce praca z wykorzystaniem konta nieuprzywilejowanego bywa utrudniona i osoby techniczne korzystają z lokalnych kont administratora. Natomiast dla szczególnie chronionych środowisk zalecane jest jednak użycie konta standardowego, a także realizowanie monitoringu aktywności.
