Una extensión de Claude Code en Cursor distribuyó código malicioso durante más de once horas el 29 de octubre. El ataque aprovechó el canal de distribución de una herramienta legítima para intentar instalar acceso remoto persistente en los ordenadores de sus usuarios. Ars Technica recoge una estimación de hasta 5.000 usuarios afectados; esa cifra no demuestra que los atacantes consiguieran controlar todos esos equipos.
El detalle incómodo es que las extensiones de Cursor se actualizan automáticamente por defecto, aunque el usuario puede cambiar esa configuración. Para recibir una versión manipulada no era necesario buscar software pirata ni aceptar una oferta sospechosa. Bastaba con seguir confiando en una herramienta instalada.
Dos versiones afectadas y una distribución concreta
El aviso oficial de Cursor identifica las versiones 2.1.312 y 2.1.313 de Anthropic.claude-code, distribuidas desde su marketplace para macOS y Windows. La ventana indicada va de las 2:27 a las 13:35, hora del Pacífico, del 29 de octubre: once horas y ocho minutos.
El artículo inicial de Ars se centra en la versión 2.1.313. La información posterior amplía el alcance a la 2.1.312, una actualización que también incorpora el análisis técnico independiente.
El incidente afecta a paquetes manipulados distribuidos por el marketplace de Cursor. Cursor afirma que esas versiones maliciosas no fueron desarrolladas por Anthropic y que no tiene pruebas de que la distribución oficial fuera de ese canal esté afectada.
Conviene mantener esa precisión: identificar una extensión por su nombre no permite dar por comprometidas todas sus instalaciones, tiendas o versiones.
Una puerta trasera dentro del paquete de confianza
El análisis de Phorion explica que el código añadido se ejecutaba al cargarse la extensión, antes de su funcionamiento habitual. No requería que el usuario empezara una conversación con Claude ni le encargara una tarea.
El programa intentaba añadir una clave controlada por el atacante, habilitar el servicio de acceso remoto SSH y establecer un túnel hacia un servidor externo. También dejaba mecanismos para volver a intentarlo y sobrevivir al reinicio.
Una extensión se ejecuta con los permisos del entorno de desarrollo y del usuario que lo utiliza. Eso convierte el ordenador de un programador en un objetivo especialmente valioso: puede contener código fuente, documentación interna y herramientas con acceso a otros sistemas.
El malware recopilaba información del equipo y nombres de variables de entorno relacionadas con posibles secretos, no sus valores en ese envío inicial. Encontrar referencias a claves o tokens ayuda a identificar objetivos; no acredita por sí solo que esos secretos fueran robados.
Los errores del atacante limitaron el daño
La puerta trasera tenía fallos. Phorion describe problemas en la comprobación de SSH en macOS y en la ejecución de órdenes en Windows. Los permisos disponibles también condicionaban lo que podía hacer.
En algunos equipos, esas limitaciones impedían completar el acceso remoto. Pero podían quedar claves añadidas, archivos persistentes e información del sistema ya enviada al atacante.
Que el intruso programe mal es una circunstancia favorable. Como estrategia de seguridad, tiene bastante margen de mejora.
La ejecución del malware y el acceso efectivo del atacante son hechos distintos. Investigar un equipo afectado exige comprobar ambos.
Retirar la extensión no limpia necesariamente el ordenador
Cursor afirma que retiró los paquetes, interrumpió su distribución y cerró temporalmente el marketplace para revisar accesos y renovar claves. También coordinó la desconexión del servidor utilizado por el atacante.
Esas medidas frenan la infraestructura conocida del ataque, pero no eliminan automáticamente lo que se hubiera instalado en cada ordenador.
El aviso oficial recomienda revisar los equipos que recibieron las versiones afectadas, buscar los indicadores publicados, aislar aquellos que presenten señales de compromiso y eliminar las claves, procesos y mecanismos de persistencia no autorizados. También contempla evaluar la reconstrucción del sistema y renovar las credenciales accesibles desde una máquina de confianza.
Desinstalar la extensión puede dejar componentes independientes funcionando. Una versión posterior tampoco debe confundirse con un certificado de limpieza.
La mirada HUMANía
La industria de la IA nos pide que deleguemos cada vez más. Que demos acceso al código, a los archivos y a las herramientas. Que dejemos trabajar al asistente. La comodidad consiste, precisamente, en intervenir menos.
Aquí el atacante aprovechó esa confianza. El código malicioso viajó dentro de una extensión reconocible, por un canal que los usuarios tenían motivos para considerar legítimo.
No hizo falta que Claude desarrollara intenciones propias. Hicieron falta personas atacando una distribución de software y controles que no impidieron que el paquete llegara a los usuarios. La responsabilidad sigue estando en las decisiones y los accesos humanos, aunque el producto lleve inteligencia artificial en el escaparate.
Ars señalaba, al publicar su información, que seguía sin explicarse cómo habían accedido los atacantes al canal de distribución y que Anthropic no había emitido un aviso público a sus clientes. Esa falta de explicación forma parte del problema: quienes entregan permisos necesitan saber qué falló y qué ha cambiado.
Actualizar automáticamente tiene ventajas reales. También exige que alguien proteja y supervise aquello que llega sin que tengamos que mirarlo.
La confianza se actualiza sola. La responsabilidad debería venir incluida.