Une extension Claude Code piégée a visé des développeurs via Cursor

Une version modifiée de Anthropic.claude-code, l’extension Claude Code d’Anthropic distribuée via le marketplace de Cursor, a été mise en ligne le 29 octobre 2026 pendant environ 11 heures. Cursor dit que jusqu’à 5 000 utilisateurs ont pu être exposés, avec un code capable d’ajouter une clé SSH, d’installer une persistance et d’ouvrir un tunnel inverse. Le risque compte double : l’attaque passait par une extension de confiance et pouvait laisser des traces après sa suppression.

Un marché d’extensions qui devient aussi un point d’entrée

La version 2.1.313 n’a pas été publiée par Anthropic, mais par le canal de distribution de Cursor, éditeur d’un environnement de développement basé sur VS Code. Selon la note de Cursor, le paquet malveillant a été visible entre 2 h 27 et 13 h 35, heure du Pacifique, le 29 octobre 2026. Le compromis ne touche pas l’édition officielle de Claude Code, mais bien la copie distribuée par le marketplace de Cursor. C’est une nuance technique, et elle change tout.

Le code malveillant commençait par récolter des informations sur l’hôte : nom de machine, nom d’utilisateur, système d’exploitation, architecture, répertoires de travail, adresse IP publique et autres détails de configuration. Ensuite, il ajoutait une clé publique SSH nommée svc-telemetry dans le fichier authorized_keys. Autrement dit, la machine pouvait rester accessible à l’attaquant même après désinstallation de l’extension.

Persistance, tunnel inverse et nettoyage incomplet

Le second volet était plus discret mais plus durable. Le paquet tentait d’activer le service SSH local, puis d’établir un tunnel inverse vers 134.209.82.225 sur le port 22, avec des outils comme ssh -N -R et autossh -M 0. Cursor indique toutefois que l’activation du service SSH nécessitait des privilèges administrateur et a échoué dans la plupart des cas. Cela n’annule pas l’impact : la clé SSH, elle, a bien pu être ajoutée, et des scripts de persistance ont été déposés.

Sur macOS, ces scripts prenaient la forme d’un LaunchAgent baptisé com.apple.sysmond ; sur Windows, d’une tâche planifiée SysMon avec une solution de repli dans le dossier de démarrage. Les mécanismes étaient conçus pour retenter la connexion environ toutes les 60 secondes. Une extension peut donc faire bien plus que charger du code ; elle peut aussi s’installer dans le décor, comme un squatteur très poli.

Cursor a coupé le serveur, pas forcément les traces

Cursor affirme avoir retiré la version malveillante, reconstruit sa place de marché, fait tourner ses clés et travaillé avec l’hébergeur pour mettre le serveur attaquant hors ligne. L’entreprise dit aussi n’avoir trouvé aucune preuve d’altération d’autres extensions. À ce stade, le tunnel externe et le mécanisme de beacon ne sont plus fonctionnels, mais cela ne suffit pas à considérer les postes comme propres.

La consigne est claire pour les utilisateurs ayant installé ou mis à jour Anthropic.claude-code 2.1.313 pendant la fenêtre concernée : vérifier la présence de la clé svc-telemetry, rechercher les scripts et tâches de persistance, puis isoler les hôtes touchés. Cursor recommande aussi de révoquer et faire tourner les identifiants accessibles depuis ces machines, car la collecte initiale ne ferme pas la porte à un accès ultérieur via le backdoor.

Ce que l’incident dit du risque dans les outils de développement

Le cas rappelle qu’un éditeur de code, surtout quand il embarque des assistants d’IA et des extensions tierces, concentre beaucoup de confiance dans peu d’endroits. Une seule mise à jour piégée peut modifier des clés SSH, créer des tâches de fond et toucher l’accès distant d’une machine de développement. Pour les équipes, le sujet dépasse donc la simple hygiène logicielle : il faut aussi surveiller la chaîne de distribution, les droits accordés aux extensions et les indicateurs de compromission sur les postes de travail.

Pour l’instant, l’épisode semble circonscrit à une fenêtre courte et à un paquet précis, mais il montre une chose très concrète : quand une extension est compromise, le bouton “désinstaller” n’est pas toujours un bouton magique.