Una versión manipulada de la extensión oficial de Claude Code, la herramienta de programación con IA de Anthropic, estuvo disponible unas 11 horas en la tienda de extensiones del editor Cursor el 29 de octubre, y llegó a hasta 5.000 usuarios. Las versiones alteradas intentaban instalar una puerta trasera por SSH en el equipo. Anthropic subraya que sus sistemas no fueron comprometidos y que el código manipulado no lo desarrolló la empresa. Lo detalla Cursor en su aviso de seguridad, lo analiza la firma Phorion y lo cuenta The Next Web.
El episodio no es un fallo de Claude Code, sino del canal por el que se distribuía: la tienda de un editor de terceros.
¿Qué pasó exactamente?
Alguien subió a la tienda de Cursor una copia trucada de la extensión de Anthropic. Según Cursor, entre aproximadamente las 2:27 y las 13:35, hora del Pacífico, del 29 de octubre, estuvieron disponibles dos versiones manipuladas (la 2.1.312 y la 2.1.313) para Windows y macOS. Cursor calcula que alcanzaron hasta 5.000 usuarios. Las extensiones del editor se actualizan de forma automática por defecto, lo que ayuda a explicar ese alcance en tan poco tiempo.
Cursor es claro en un punto: estas versiones no las desarrolló Anthropic. Un atacante usó el acceso a la tienda del editor para publicar la copia alterada. Ni Cursor ni Anthropic han explicado todavía cómo consiguió ese acceso.
¿Qué hacía el código manipulado?
Intentaba abrir una puerta trasera en el ordenador y enviar información del equipo. Según el aviso de Cursor, la extensión recogía datos como el nombre del equipo, el usuario, el sistema operativo y la dirección IP pública, e intentaba instalar una clave de acceso del atacante y abrir un túnel para conectarse de vuelta. La buena noticia es que ese último paso, el que daría acceso real, requiere permisos de administrador que la extensión no suele tener, así que en la mayoría de los equipos fallaba.
La mala es que el resto no. Tanto Cursor como Phorion coinciden en que la clave de acceso, los mecanismos para sobrevivir a un reinicio y el envío de datos sí podían completarse, y que desinstalar la extensión puede no bastar para limpiar el equipo, porque el código deja scripts que siguen en marcha por su cuenta. Phorion detalla además un fallo en el propio código malicioso que, en macOS, rompe la parte del ataque que abriría el acceso entrante si el equipo no tenía ya activado el acceso remoto.
¿Qué hay que hacer si usas Cursor?
Comprobar si instalaste esas versiones y, si es así, limpiar a conciencia. Cursor ha publicado una comprobación: el código malicioso añade una clave con la etiqueta svc-telemetry al archivo de claves autorizadas de SSH; si aparece, el equipo está afectado. En ese caso recomienda ejecutar su script de limpieza, revocar las credenciales accesibles desde el equipo y valorar si conviene reinstalar el sistema, porque desinstalar la extensión no elimina los scripts persistentes.
Conviene, de paso, revisar cómo detectar una extensión del navegador maliciosa o vendida: el principio es el mismo, una pieza de software con permisos amplios que se cuela por un canal de confianza.
¿Qué dice Anthropic y qué responsabilidad hay?
Anthropic dice que el problema no estuvo en su casa. Según The Next Web, Felix Rieseberg, de su equipo técnico, afirmó que no hubo compromiso de los sistemas de Anthropic ni de los portátiles de sus empleados, que un actor malicioso usó el acceso a la tienda de Cursor para publicar la copia trucada y que los canales oficiales de Anthropic no están afectados. Cursor, por su parte, retiró las versiones, cerró temporalmente su tienda para revisar el resto de extensiones, rotó sus claves y logró que el servidor del atacante se desconectara.
Mi lectura: este caso es un aviso sobre la cadena de distribución del software, no sobre la IA. Da igual lo seguro que sea Claude Code en su canal oficial si un usuario lo instala desde la tienda de otro editor y esa tienda se ve comprometida. El eslabón débil fue el intermediario, y el hecho de que las extensiones se actualicen solas convirtió un fallo de 11 horas en 5.000 posibles víctimas. La lección para cualquiera que programe apoyándose en asistentes de IA es incómoda pero clara: una extensión tiene los mismos permisos que tu editor y tu usuario, así que importa mucho de dónde la bajas. Y para Cursor queda la pregunta sin responder, la de cómo entró el atacante en su tienda, que es la que de verdad decide si esto puede repetirse.