Backdoor nel marketplace di Cursor mette alla prova la fiducia negli assistenti AI per il coding

Cursor ha rimosso un'estensione Claude Code compromessa dal suo marketplace il 29 ottobre. Questo è avvenuto dopo che i ricercatori hanno scoperto che le estensioni malevole installavano un backdoor SSH. Si stima che 5.000 utenti siano stati interessati. Il problema non coinvolgeva il modello AI di Anthropic, Claude. Invece, il malware è diventato disponibile agli sviluppatori attraverso il marketplace delle estensioni di Cursor.

Due build avvelenate sono state inserite per undici ore

Due versioni compromesse di Anthropic.claude-code, le 2.1.312 e 2.1.313, sono state rese disponibili per il download sul marketplace di Cursor per Windows e macOS. Sono rimaste accessibili per circa undici ore il 29 ottobre, dalle 2:27 alle 13:35 ora del Pacifico, secondo l'avviso di Cursor.

Anthropic non ha creato né plug-in malevolo. OpenSourceMalware ha esaminato la versione 2.1.313 e ha riscontrato che il pacchetto npm ufficiale, l'elenco Open VSX e la versione del Microsoft VS Code Marketplace non erano stati compromessi.

Un backdoor aggiunto prima dell'estensione reale

L'attaccante ha nascosto un loader di 66 righe all'inizio del file JavaScript dell'estensione. Ciò significava che il codice malevolo veniva eseguito prima dell'estensione legittima. Come spiegato da OpenSourceMalware:

L'utente non deve avviare una conversazione con Claude. È sufficiente caricare il modulo di estensione.

Dopo l'attivazione, il codice è riuscito a raccogliere informazioni sul computer insieme ai tipi di credenziali presenti. Ha inoltre generato una chiave SSH svc-telemetry e ha tentato di creare un tunnel inverso verso 134.209.82.225. Contemporaneamente, ha inviato i dati relativi al computer tramite HTTP utilizzando la porta 8099.

Cursor afferma che i tentativi di utilizzo di SSH erano tipicamente falliti senza privilegi di amministratore. Nonostante ciò, le chiavi spyware e gli script di persistenza possono rimanere sul computer. Il codice potrebbe continuare a raccogliere e trasmettere informazioni sul computer.

Perché la disinstallazione potrebbe non essere sufficiente

Cursor ha rimosso il malware e ha disattivato temporaneamente il proprio marketplace. Ha inoltre verificato altre estensioni e collaborato con il provider di hosting per mettere offline il server dell'attaccante. Tuttavia, ciò non significava che i computer interessati fossero al sicuro. Cursor ha avvisato nella sua guida alla sicurezza che:

“La disinstallazione dell'estensione potrebbe non essere sufficiente: il payload deposita script di persistenza autonomi che continuano a essere eseguiti.”

Esempi di questi script di persistenza sono LaunchAgent su macOS e un'attività pianificata su Windows. Cursor ha consigliato agli sviluppatori interessati di eliminare la chiave SSH svc-telemetry ed eseguire gli script di pulizia dell'azienda. Gli sviluppatori devono utilizzare un dispositivo fidato separato per modificare le credenziali a cui hanno accesso dal computer interessato.

Perché questo si adatta allo schema 2026

L'incidente di Cursor fa parte di un problema più ampio. Gli attaccanti stanno prendendo di mira sempre più gli strumenti che gli sviluppatori utilizzano e in cui si fidano. La Cloud Security Alliance ha segnalato la campagna TrapDoor, che ha coinvolto oltre 34 pacchetti malevoli inseriti istruzioni nascoste nei file di configurazione degli assistenti AI.

Nel frattempo, la campagna GlassWorm ha utilizzato estensioni dormienti per mirare alle credenziali e ai portafogli crypto degli sviluppatori. Cryptopolitan aveva precedentemente segnalato circa 73 di tali estensioni identificate da Socket.

Il problema va oltre le estensioni. Sonatype ha identificato oltre 454.600 nuovi pacchetti malevoli nel 2025. Cryptopolitan ha anche coperto i suoi risultati sulle librerie npm avvelenate. Si trattava di attacchi separati, senza collegamenti confermati tra i loro autori.

La fiducia diventa una voce nei contratti aziendali

La minaccia in crescita è evidente con l'aumento dell'uso degli strumenti AI tra gli sviluppatori. GitHub’s Octoverse indica che le attività degli sviluppatori sono aumentate perché i sistemi AI stanno guadagnando popolarità.

Secondo il sondaggio Stack Overflow condotto nel 2026, quando è stato chiesto del loro utilizzo degli strumenti AI, l'80% degli intervistati ha dichiarato di utilizzarli per un'ora al giorno o più. Tuttavia, il sondaggio ha anche mostrato che il 48% degli intervistati si fida dei contenuti generati dall'AI solo se la loro validità è facile da confermare.

Per le imprese, l'uso crescente degli strumenti di intelligenza artificiale porta nuove preoccupazioni sulla sicurezza. Le aziende potrebbero iniziare a richiedere controlli più rigorosi del marketplace, la prova che le estensioni provengano da fonti legittime e controlli di accesso più stretti. Potrebbero anche aspettarsi che i fornitori rispondano più rapidamente in caso di violazioni della sicurezza.

Queste misure di sicurezza potrebbero essere un altro costo dell'implementazione degli strumenti di IA. Tuttavia, si tratta di costi ancora potenziali piuttosto che perdite finanziarie effettive derivanti dall'incidente di Cursor.