Backdoor v Claude Code, oficiálnom rozšírení Anthropicu pre vývojárske prostredie Cursor, bol počas štvrtka 29. októbra 2026 takmer dvanásť hodín dostupný v obchode doplnkov tohto nástroja. Podľa spoločnosti Cursor sa stiahnutie alebo automatická aktualizácia mohli dotknúť až 5000 používateľov. Útok je pozoruhodný tým, že škodlivý kód nepochádzal z neznámeho zdroja, ale bol publikovaný priamo z overeného účtu Anthropicu.
V skratke
- Škodlivá verzia rozšírenia Claude Code 2.1.313 bola v obchode Cursoru dostupná od 5:27 do 16:35 (čas východného pobrežia USA) vo štvrtok 29. októbra 2026, teda necelých dvanásť hodín.
- Podľa Cursoru mohla zasiahnuť najviac 5000 používateľov, ktorí si rozšírenie nainštalovali alebo im ho aktualizoval automatický update.
- Kód sa pokúšal vytvoriť trvalý SSH backdoor a posielať informácie o zariadení útočníkovi každých približne 60 sekúnd na port 8099.
- Anthropic nahradil škodlivú verziu opravenou verziou 2.1.314 o niekoľko hodín neskôr, zákazníkov o incidente verejne neinformoval.
Na incident upozornili bezpečnostní výskumníci vrátane nezávislého analytika Kevina Beaumonta a Luka Robertsa, technického riaditeľa firmy Phorion, ich zistenia následne potvrdila agentúra Ars Technica a server The Decoder. Rozšírenie Claude Code pre editor Cursor slúži na priame volanie Anthropicovho modelu z vývojárskeho prostredia, preto má prístup k zdrojovému kódu a nástrojom na počítači vývojára. Útočník zneužil presne tento prístup.
Čo presne škodlivý kód robil
Podľa Cursoru sa škodlivá verzia pokúšala zozbierať základné informácie o zariadení, vrátane názvu počítača, používateľského mena, operačného systému, architektúry, domovského priečinka, zoznamu premenných prostredia, pracovných priečinkov, e-mailu nastaveného v Gite a verejnej IP adresy. Firma Phorion upozornila, že práve zoznam názvov premenných prostredia dával útočníkovi rýchly prehľad o tom, aké cloudové prístupové údaje a API kľúče sa na zariadení nachádzajú, čo mu umožňovalo vybrať si ciele na prípadné následné útoky.
Kód sa zároveň pokúšal pridať do súboru authorized_keys vlastný SSH kľúč, zapnúť lokálnu SSH službu a otvoriť reverzný SSH tunel, ktorý by útočníkovi umožnil vzdialený prístup k zariadeniu. Na macOS sa o to isté pokúšal pomocou mechanizmu LaunchAgent, na Windows cez naplánovanú úlohu spúšťanú ako SYSTEM. Táto časť útoku si však vyžadovala administrátorské oprávnenia, ktoré bežný používateľ Cursoru pri štandardnom spustení nemá, a pre chyby v kóde zlyhávala aj v niektorých prípadoch, keď boli oprávnenia dostupné. Napriek tomu podľa Phorionu zostáva hrozba vážna, pretože kód úspešne nainštaloval mechanizmus trvalosti a odosielal informácie o zariadení útočníkovi.
Ako to funguje: útok na zásobovací reťazec
Ide o takzvaný supply chain, teda útok na zásobovací reťazec softvéru. Namiesto priameho napadnutia používateľa útočník prenikne do procesu, ktorým sa dôveryhodný nástroj distribuuje, a škodlivý kód sa tak dostane k tisíckam ľudí naraz pod zdaním legitímnej aktualizácie. V tomto prípade útočník získal kontrolu nad overeným distribučným účtom Anthropicu v obchode Cursoru a škodlivú verziu 2.1.313 vydal tak, že nahradila predchádzajúcu bezpečnú verziu 2.1.312. Pretože rozšírenia v Cursore sa štandardne aktualizujú automaticky, mnohí vývojári si škodlivú verziu stiahli bez toho, aby o tom vedeli.
Ani Cursor, ani Anthropic doteraz verejne nevysvetlili, ako sa útočník k distribučnému účtu dostal. Po objavení incidentu Cursor rozšírenie z obchodu odstránil a celý obchod s doplnkami dočasne vypol, aby mohol rotovať prístupové kľúče, preveriť ostatné rozšírenia a potvrdiť, že nie sú ohrozené. Zároveň spolupracoval s poskytovateľom cloudu, ktorý hostil server prijímajúci spojenia z reverzného tunela, aby infikované zariadenia už nemohli útočníka kontaktovať. Obchod je od vtedy opäť v prevádzke a podľa Cursoru neboli zasiahnuté žiadne iné rozšírenia.
Čo to znamená pre firmy
Pre firmy, ktoré nasadzujú AI nástroje priamo do vývojárskeho prostredia, je tento prípad pripomienkou, že riziko sa čoraz častejšie neskrýva v samotnom modeli, ale v distribučnom kanáli okolo neho. Rozšírenia, pluginy a doplnky tretích strán majú spravidla rovnaké oprávnenia ako editor, v ktorom bežia, teda plný prístup k zdrojovému kódu, premenným prostredia a sieťovým nastaveniam počítača. Firmy by si preto mali overiť, akým spôsobom sa u nich aktualizujú vývojárske nástroje, či je automatická aktualizácia žiaduca a kto má v tíme na starosti sledovanie bezpečnostných upozornení od poskytovateľov. Podobnú opatrnosť si vyžaduje aj nasadenie AI agentov do interných systémov, o čom AIportal písal pri prípade, keď sa AI agenti dostali do interných systémov samotného Anthropicu.
Dôležitý je aj spôsob, akým spoločnosti o takýchto incidentoch komunikujú. Ani Anthropic, ani Cursor doteraz nevydali samostatné verejné upozornenie pre zákazníkov, informácie sa k verejnosti dostali najprv cez nezávislých výskumníkov a novinárov. Pre firmu, ktorá zvažuje nasadenie podobných nástrojov, je preto rovnako dôležité sledovať nielen funkcie produktu, ale aj to, ako rýchlo a transparentne dodávateľ reaguje na bezpečnostné problémy.
Nie prvý podobný prípad
Útoky na zásobovací reťazec okolo AI nástrojov pribúdajú spolu s tým, ako sa tieto nástroje stávajú bežnou súčasťou vývojárskej práce. Podobný vzorec, keď bezpečnostná chyba alebo zraniteľnosť súvisiaca s AI postihne širokú skupinu používateľov naraz, opísal AIportal nedávno aj pri zraniteľnosti v PHP, ktorú odhalila samotná umelá inteligencia a ktorá ohrozovala milióny webových stránok. Rozdiel je v tom, že v prípade Cursoru nešlo o chybu objavenú a nahlásenú zodpovedne, ale o aktívne zneužitie dôveryhodného distribučného kanála útočníkom.
Bezpečnostní výskumníci odporúčajú každému, kto si rozšírenie Claude Code pre Cursor nainštaloval alebo aktualizoval medzi 5:27 a 16:35 východného času vo štvrtok 29. októbra, aby svoje zariadenie považoval za potenciálne napadnuté, a to aj po nainštalovaní opravenej verzie 2.1.314. Nová verzia totožnosť rozšírenia opravuje, ale neodstraňuje prípadnú existujúcu infekciu zo zariadenia, na ktorom už škodlivý kód bežal.
Čo sledovať ďalej
Kľúčová otázka, ako sa útočník dostal k overenému distribučnému účtu Anthropicu na Cursore, zatiaľ zostáva nezodpovedaná. Obe firmy budú musieť vysvetliť, či išlo o únik prístupových údajov, slabé zabezpečenie konkrétneho účtu alebo chybu v samotnom procese overovania vydavateľov v obchode Cursoru. Stojí za to sledovať aj to, či Anthropic vydá samostatné verejné vyjadrenie pre zasiahnutých zákazníkov, keďže doteraz sa informácie šírili najmä cez nezávislých výskumníkov.
