Backdoor im Cursor-Marktplatz erschüttert Vertrauen in KI-Coding-Assistenten

Cursor hat am 29. Oktober eine kompromittierte Claude Code-Erweiterung aus seinem Marketplace entfernt. Dies geschah, nachdem Forscher herausgefunden hatten, dass die bösartigen Erweiterungen eine SSH-Backdoor installiert hatten. Schätzungsweise 5.000 Nutzer könnten betroffen gewesen sein. Das Problem betraf nicht Anthropics KI-Modell Claude. Stattdessen wurde die Malware Entwicklern über den Erweiterungsmarktplatz von Cursor zugänglich gemacht.

Zwei vergiftete Builds wurden elf Stunden lang eingeschleust

Zwei kompromittierte Versionen von Anthropic.claude-code, 2.1.312 und 2.1.313, wurden zum Download im Cursor-Marktplatz für Windows und macOS bereitgestellt. Sie waren laut Cursor’s notice etwa elf Stunden lang am 29. Oktober verfügbar, von 2:27 Uhr bis 13:35 Uhr Pacific Time.

Anthropic hat keine der bösartigen Plugins erstellt. OpenSourceMalware untersuchte Version 2.1.313 und stellte fest, dass das offizielle npm-Paket, die Open-VSX-Listung und die Microsoft VS Code Marketplace-Version unbeeinflusst blieben.

Eine Backdoor, die vor der eigentlichen Erweiterung eingefügt wurde

Der Angreifer versteckte einen 66 Zeilen langen Loader am Anfang der JavaScript-Datei der Erweiterung. Dadurch wurde der bösartige Code vor der legitimen Erweiterung ausgeführt. Wie OpenSourceMalware erklärte:

Der Benutzer muss keine Claude-Konversation starten. Das Laden des Erweiterungsmoduls reicht aus.

Nach der Aktivierung konnte der Code Informationen über den Computer sowie die vorhandenen Anmeldeinformationen sammeln. Er generierte zudem einen svc-telemetry-SSH-Schlüssel und versuchte, einen Reverse-Tunnel zu 134.209.82.225 aufzubauen. Gleichzeitig wurden die Daten über den Computer per HTTP über Port 8099 gesendet.

Cursor gibt an, dass SSH-Versuche in der Regel ohne Administratorrechte erfolglos waren. Dennoch können der Spyware-Schlüssel und die Persistenzskripte auf dem Computer verbleiben. Der Code kann weiterhin Informationen über den Computer sammeln und übertragen.

Warum das Deinstallieren möglicherweise nicht ausreicht

Cursor hat den Malware entfernt und seinen Marktplatz vorübergehend geschlossen. Zudem wurden andere Erweiterungen überprüft und mit dem Hosting-Anbieter zusammengearbeitet, um den Server des Angreifers offline zu nehmen. Das bedeutete jedoch nicht, dass die betroffenen Computer sicher waren. Cursor warnte in seiner security guidance Folgendes:

„Das Deinstallieren der Erweiterung reicht möglicherweise nicht aus – das Payload platziert eigenständige Persistenzskripte, die weiterlaufen.“

Beispiele für solche Persistenzskripte sind LaunchAgent unter macOS und eine geplante Aufgabe unter Windows. Cursor riet betroffenen Entwicklern, den svc-telemetry-SSH-Schlüssel zu löschen und die Bereinigungsskripte des Unternehmens auszuführen. Die Entwickler müssen ein separates, vertrauenswürdiges Gerät nutzen, um die Anmeldeinformationen zu ändern, auf die sie vom betroffenen Computer aus Zugriff haben.

Warum dies in das 2026-Muster passt

Der Cursor-Zwischenfall ist Teil eines größeren Problems. Angreifer richten sich zunehmend gegen die Tools, die Entwickler nutzen und vertrauen. Die Cloud Security Alliance berichtete über die TrapDoor-Kampagne, an der mehr als 34 bösartige Pakete beteiligt waren, die versteckte Anweisungen in KI-Assistent-Konfigurationsdateien einfügten.

In der Zwischenzeit nutzte die GlassWorm-Kampagne schlafende Erweiterungen, um Zugangsdaten und Krypto-Wallets von Entwicklern zu zielen. Cryptopolitan berichtete zuvor über 73 solcher Erweiterungen, die von Socket identifiziert wurden.

Das Problem geht über Erweiterungen hinaus. Sonatype identifizierte im Jahr 2025 mehr als 454.600 neue bösartige Pakete. Cryptopolitan deckte auch seine Erkenntnisse zu vergifteten npm-Bibliotheken auf. Dies waren separate Angriffe ohne bestätigte Verbindungen zwischen den Tätern.

Vertrauen wird zum Posten in Unternehmensverträgen

Die wachsende Bedrohung zeigt sich darin, dass die Nutzung von KI-Tools unter Entwicklern zunimmt. GitHub’s Octoverse besagt, dass die Aktivitäten der Entwickler gestiegen sind, da KI-Systeme an Popularität gewinnen.

Laut der Stack Overflow-Umfrage von 2026 gaben 80 % der Befragten an, dass sie KI-Tools mindestens eine Stunde pro Tag nutzen. Die Umfrage zeigte jedoch auch, dass 48 % der Befragten KI-generierten Inhalten nur vertrauen, wenn ihre Gültigkeit leicht bestätigt werden kann.

Für Unternehmen bringt der wachsende Einsatz von KI-Tools neue Sicherheitsbedenken mit sich. Unternehmen könnten zunehmend strengere Marktprüfungen verlangen, Nachweise dafür, dass Erweiterungen von legitimen Quellen stammen, sowie engere Zugriffsbeschränkungen. Zudem könnten sie erwarten, dass Anbieter bei Sicherheitsverletzungen schneller reagieren.

Diese Sicherheitsmaßnahmen könnten weitere Kosten bei der Implementierung von KI-Tools darstellen. Allerdings handelt es sich dabei noch um potenzielle, nicht aber um tatsächliche finanzielle Verluste infolge des Cursor-Vorfalls.