Вредоносное расширение Anthropic в Cursor затронуло до пяти тысяч разработчиков

Официальное расширение для модели Claude от компании Anthropic было скомпрометировано и в течение почти двенадцати часов распространялось через магазин расширений Cursor — платформы для разработчиков с поддержкой искусственного интеллекта. По оценкам компании Cursor, вредоносная версия 2.1.313 затронула до пяти тысяч пользователей: они либо скачали её вручную, либо их системы автоматически подтянули обновление. При этом Anthropic до сих пор не предупредила клиентов об инциденте, сообщают источники.

Исследователь Кевин Бомонт первым обратил внимание на то, что Anthropic выпустила версию 2.1.314 спустя несколько часов после появления заражённой сборки в Cursor. По его данным, а также по информации технического директора и сооснователя компании Phorian Люка Робертса, версия 2.1.313 распространялась через официальный аккаунт Anthropic в Cursor. Как именно злоумышленники получили контроль над этим аккаунтом, ни Cursor, ни Anthropic пока не объяснили.

Робертс охарактеризовал случившееся как атаку на цепочку поставок: атакующий получил доступ к официальному каналу распространения и опубликовал вредоносную сборку под видом легитимного обновления, фактически заменив предыдущую версию 2.1.312. Расширения в Cursor по умолчанию обновляются автоматически, хотя пользователи могут отключить эту функцию в настройках. Именно автообновление и сыграло злую шутку: многие разработчики даже не заметили, что установили заражённый пакет.

По данным Phorian, главной целью вредоносного кода был сбор облачных учётных данных — ключей доступа к инфраструктуре AWS, Google Cloud и другим сервисам, которыми пользуются разработчики. Такие ключи открывают дорогу к корпоративным аккаунтам, хранилищам данных и вычислительным мощностям, поэтому их кража может обернуться куда более серьёзными последствиями, чем сам инцидент с расширением. Специалисты по безопасности уже рекомендуют всем, кто мог установить версию 2.1.313, немедленно отозвать и перевыпустить облачные токены, проверить логи доступа к инфраструктуре и внимательно изучить активность своих аккаунтов за последние сутки.

Случай с Anthropic — очередное напоминание о том, насколько уязвимой остаётся экосистема инструментов для разработчиков, построенная вокруг ИИ-ассистентов. Расширения редакторов кода получают широкие права доступа к файлам, терминалу и сетевым соединениям, а механизм автоматических обновлений превращает компрометацию одного аккаунта в быстрый и масштабный канал доставки вредоносного кода. Показательно и то, что заражённая сборка провисела в официальном канале почти половину суток: этого времени хватило, чтобы обновление разошлось по тысячам машин. Теперь рынку предстоит понять, какие механизмы проверки подписей и контроля публикаций стоит внедрить, чтобы подобные инциденты не повторялись, а разработчикам — решить, готовы ли они доверять автообновлениям инструментов, которые имеют доступ к их облачным секретам.