Una puerta trasera en la extensión Claude Code alcanzó hasta 5.000 desarrolladores a través del mercado de extensiones de Cursor el 29 de octubre de 2026, instalando una puerta trasera SSH persistente en sus ordenadores antes de que la versión envenenada fuera retirada tras unas once horas. Microsoft Threat Intelligence publicó un nuevo análisis del incidente el 31 de octubre, confirmando que el ataque se limitó al mercado de Cursor y explicando con detalle qué hizo el código malicioso y por qué desinstalar la extensión no basta para limpiar un ordenador afectado.

Puntos Clave

• Una versión modificada de forma maliciosa de la extensión Claude Code de Anthropic estuvo disponible en el mercado de Cursor durante unas once horas el 29 de octubre, aproximadamente de 09:27 a 20:35 UTC.
• Cursor afirma que, como máximo, 5.000 usuarios recibieron las versiones alteradas, numeradas 2.1.312 y 2.1.313, en macOS y Windows.
• El código informó de datos del equipo a un servidor del atacante, añadió una clave SSH del atacante llamada "svc-telemetry" y creó tareas de inicio persistentes y un túnel SSH inverso.
• Microsoft confirmó que los paquetes alterados nunca aparecieron en Visual Studio Marketplace ni en el paquete npm de Claude Code, y Anthropic asegura que sus propios sistemas no fueron comprometidos.
• Una versión limpia, la 2.1.314, se publicó el 30 de octubre, y Cursor ha distribuido scripts de remediación que los usuarios afectados deben ejecutar antes de rotar sus credenciales desde un equipo limpio.

Qué Pasó

Cursor, el editor de código con inteligencia artificial basado en Visual Studio Code, distribuye extensiones a través de su propio mercado. El 29 de octubre, una copia modificada de la extensión oficial Claude Code, publicada bajo el nombre de Anthropic, permaneció en ese mercado durante unas once horas, desde alrededor de las 2:27 de la madrugada hasta la 1:35 de la tarde, hora del Pacífico. El aviso de seguridad de Cursor indica que la versión alterada se retiró al detectarla, que luego se cerró todo el mercado, se auditaron los accesos, se rotaron las claves y se reconstruyó el mercado antes de volver a ponerlo en servicio. La empresa asegura que no encontró otras extensiones alteradas y que contactará directamente con los usuarios afectados.

Los investigadores de seguridad de StepSecurity analizaron la versión alterada el 30 de octubre y comprobaron que era casi idéntica a la extensión legítima, salvo por un pequeño cargador oculto en su archivo de script principal, unos siete kilobytes mayor que la versión limpia anterior. El cargador se ejecuta en cuanto el editor carga la extensión, antes de cualquier conversación con Claude, y eso es lo que lo hace tan peligroso: un desarrollador no necesitaba hacer nada inusual, solo instalar o actualizar automáticamente la extensión en la ventana afectada.

El análisis de Microsoft del 31 de octubre, publicado por Microsoft Threat Intelligence, corrobora los hechos centrales y añade su propia orientación de detección. Microsoft afirma que confirmó que los paquetes maliciosos nunca se publicaron ni distribuyeron a través de Visual Studio Marketplace ni del paquete npm de Claude Code, y que Anthropic comunicó a Microsoft que sus sistemas no fueron comprometidos y que no desarrolló el paquete publicado en el mercado de Cursor. Toda la evidencia, según Microsoft, sugiere que el incidente se limita al mercado de Cursor.

Antecedentes/Contexto

Claude Code es la herramienta de Anthropic que permite a los desarrolladores encargar tareas de programación a su modelo Claude desde su entorno de trabajo. Cursor es uno de los editores de código con inteligencia artificial más populares, y su mercado es el canal por el que sus usuarios instalan y actualizan extensiones. Esa combinación convirtió al mercado en un objetivo de gran valor: una sola extensión alterada, en la que se confiaba porque llevaba un nombre familiar, podía llegar a ordenadores que guardan código fuente, credenciales en la nube y repositorios de empresas.

El incidente llega además en una semana en la que las herramientas de programación con inteligencia artificial ya estaban bajo escrutinio. El 29 de octubre, una investigación independiente reveló fallos EMBRACE en cinco herramientas de programación con inteligencia artificial, entre ellas Cursor, GitHub Copilot, OpenAI Codex, Microsoft VS Code y herramientas de Anthropic, un problema distinto de la puerta trasera pero que subraya cuánta confianza depositan hoy los desarrolladores en herramientas que pueden leer y modificar su código. Y el 30 de octubre, OpenAI, Google, Microsoft y Anthropic se comprometieron a respetar un único token compartido de exclusión voluntaria para datos de entrenamiento de inteligencia artificial.

Los ataques a la cadena de suministro de herramientas para desarrolladores no son nuevos, pero rara vez alcanzan este nivel de perfección. La versión alterada de Claude Code no se delató con funciones rotas ni fallos: se comportaba como la extensión real mientras ejecutaba su cargador en segundo plano, y por eso la ventana de exposición importa más que el número de víctimas: cualquiera que actualizara en esas once horas debe suponer que su equipo fue tocado hasta que las comprobaciones demuestren lo contrario.

Puerta trasera Claude Code: qué hizo el código malicioso

Según el aviso de Cursor, el análisis de StepSecurity y el seguimiento de Microsoft, el cargador realizó una secuencia de pasos en un equipo afectado. Primero, recopiló datos del equipo, entre ellos el nombre del host, el nombre de usuario, el sistema operativo, la arquitectura, la carpeta personal, el correo de Git, la dirección IP pública y los nombres de las variables de entorno, y los envió a la dirección controlada por el atacante 134.209.82.225 mediante HTTP sin cifrar. Los investigadores señalan que informó de los nombres de las variables de entorno que parecen claves o tokens, no de sus valores, pero incluso los nombres pueden indicar a un atacante dónde viven los secretos.

Segundo, añadió una clave SSH controlada por el atacante, llamada "svc-telemetry", al archivo authorized_keys del usuario, el archivo que decide qué claves pueden iniciar sesión en ese equipo. El análisis de Microsoft registra la huella de la clave, SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk, porque la etiqueta en sí es un texto libre que cualquiera con acceso podría cambiar, de modo que cotejar la huella es la comprobación fiable.

Tercero, estableció persistencia fuera de la carpeta de la extensión para que eliminar la extensión no eliminara la puerta trasera. En macOS creó un LaunchAgent, identificado como com.apple.sysmond; en Windows creó una tarea programada llamada SysMon y un archivo sysmon.cmd en la carpeta de inicio; los investigadores también enumeran una línea de cron que se ejecuta al reiniciar, además de archivos llamados .smt, .smtk y smt.cmd y archivos de clave .stk_ en la carpeta temporal. También intentó activar el servicio SSH local y abrir un túnel inverso fuera del equipo, dando al atacante una vía de regreso.

Un detalle sigue en disputa y es importante para cualquiera que revise su equipo. StepSecurity señaló inicialmente al registro Open VSX como origen, mientras que Cursor ha dicho desde entonces que la versión alterada procedía de su propio mercado, y Anthropic ha afirmado que la versión nunca estuvo en Open VSX, en el mercado de Microsoft ni en ninguno de sus propios canales de distribución. StepSecurity también encontró limpia la versión 2.1.312 en Open VSX, mientras que Cursor enumera tanto la 2.1.312 como la 2.1.313 entre las versiones malas de su propio mercado. El camino seguro, repetido por todos los avisos, es tratar cualquiera de las dos versiones, instalada desde el mercado de Cursor el 29 de octubre, como dentro del alcance. Cómo llegó la versión al mercado sigue sin ser público: el aviso de Cursor no lo dice, y los investigadores señalan que se desconoce si se usaron credenciales robadas o algún otro método.

Reacciones/Declaraciones

Anthropic ha rechazado con firmeza los primeros titulares que sugerían que había sido hackeada. Su representante Felix Rieseberg dijo que el incidente no fue un compromiso de los sistemas de Anthropic ni de los portátiles de sus empleados, y la declaración de Anthropic, citada en la cobertura de seguridad, dice: "Un actor malicioso usó el acceso al mercado de Cursor para publicar una extensión alterada dirigida a los usuarios de Cursor; no participamos en su construcción, publicación ni alojamiento". El análisis de Microsoft repite esa posición y registra la declaración de Anthropic de que sus sistemas no fueron comprometidos.

Cursor, por su parte, ha dicho que retiró la versión al detectarla, cerró el mercado, auditó los accesos, no encontró otras extensiones alteradas, rotó sus claves y reconstruyó el mercado antes de volver a ponerlo en línea. La empresa afirma que, como máximo, 5.000 usuarios recibieron la versión alterada y que los contactará directamente. Los investigadores de seguridad han sido más directos sobre la limpieza: desinstalar la extensión no deshace la persistencia, y los usuarios afectados deben ejecutar los scripts de remediación de Cursor y luego rotar sus credenciales desde un equipo limpio, no desde el equipo que podría seguir comprometido.

Microsoft ha publicado detecciones de Defender XDR y consultas avanzadas de búsqueda basadas en la dirección IP del atacante, el hash del punto de entrada JavaScript ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15, los nombres de archivo y los eventos de creación de tareas programadas que contienen tanto SysMon como smt, advirtiendo de que una detección es una pista de investigación y no una prueba de compromiso.

Por Qué Importa

Este incidente importa mucho más allá de los 5.000 usuarios que cuenta Cursor, porque ataca el modelo de confianza del desarrollo de software moderno. Los desarrolladores instalan extensiones como los oficinistas instalan aplicaciones, normalmente sin inspeccionar el código, y esas extensiones se ejecutan con un amplio acceso a archivos, terminales y credenciales. Una puerta trasera que sobrevive a la desinstalación y llama en silencio a su servidor convierte una actualización rutinaria en una puerta de entrada a una empresa, y esa puerta puede usarse después para llegar al código fuente, a la infraestructura en la nube y a los datos de los clientes.

También muestra con qué rapidez puede contenerse un incidente de cadena de suministro cuando el distribuidor actúa con decisión, y cuánta confusión puede seguir aun así. La ventana de once horas de Cursor, el cierre del mercado y la rotación de claves limitaron el alcance, pero un día después los investigadores seguían desentrañando de qué registro procedía la versión y qué números de versión eran malos. Para los equipos, la lección es de procedimiento: fijar las versiones de las extensiones, auditar lo que instalan los desarrolladores y tratar cualquier incidente de mercado como motivo para revisar los equipos, no solo para actualizarlos.

Para los desarrolladores individuales, lo que está en juego es personal además de profesional. El código recopiló direcciones de correo de Git, rutas de carpetas personales y nombres de variables de entorno, el tipo de detalles que ayudan a un atacante a preparar un phishing convincente o a moverse a otras cuentas. Rotar las credenciales desde un equipo limpio, en lugar de desde el afectado, es el paso que más subrayan los investigadores, porque una clave rotada en un equipo todavía comprometido puede ser cosechada de nuevo.

Qué Sigue

El camino de remediación de Cursor es ahora la prioridad inmediata para cualquiera dentro del alcance: comprobar si la versión 2.1.312 o 2.1.313 de Claude Code se instaló o actualizó desde el mercado de Cursor entre las 09:27 y las 20:35 UTC del 29 de octubre, ejecutar el script de comprobación y remediación de Cursor para la plataforma en cuestión, actualizar a la versión 2.1.314 o posterior, y luego rotar las claves SSH, los tokens de API y otras credenciales desde un equipo que se sepa limpio. En macOS, las comprobaciones buscan el LaunchAgent com.apple.sysmond y la familia de archivos .smt; en Windows, la tarea SysMon y sysmon.cmd en Inicio; en ambos, la clave del atacante en authorized_keys y cualquier línea de cron que se ejecute al reiniciar.

Cursor afirma que contactará directamente con los usuarios afectados, y las detecciones de Defender de Microsoft ofrecen a los equipos de seguridad empresarial una forma de buscar los indicadores en sus flotas. La pregunta abierta, cómo llegó la versión al mercado, probablemente la responda la propia investigación de Cursor, y su respuesta decidirá si la solución es una rotación de claves puntual o un cambio más profundo en cómo se verifica la publicación en el mercado. Hasta entonces, el incidente queda como advertencia para todo equipo que trate la actualización de una extensión como un clic rutinario.

Preguntas Frecuentes

¿Fue hackeada Anthropic? No, según Anthropic y Microsoft. Anthropic dice que un actor malicioso usó el acceso al mercado de Cursor para publicar la extensión alterada, y que Anthropic no participó en su construcción, publicación ni alojamiento.

¿Estoy afectado si uso Claude Code en VS Code? Microsoft afirma que los paquetes alterados nunca aparecieron en Visual Studio Marketplace ni en el paquete npm, de modo que los usuarios de VS Code que instalaron desde el mercado de Microsoft no están dentro del alcance según la evidencia actual, aunque comprobar la versión instalada sigue siendo prudente.

¿Desinstalar la extensión lo soluciona? No. El código instaló persistencia fuera de la carpeta de la extensión, por lo que los usuarios afectados deben ejecutar los scripts de remediación de Cursor y luego rotar sus credenciales desde un equipo limpio.

¿Qué versiones son malas? Cursor enumera las versiones 2.1.312 y 2.1.313 de su propio mercado, instaladas o actualizadas el 29 de octubre. El reemplazo limpio es la versión 2.1.314, publicada el 30 de octubre.

¿Cuántos usuarios resultaron afectados? Cursor afirma que, como máximo, 5.000 usuarios recibieron la versión alterada durante la ventana de unas once horas.

Cobertura relacionada: La salida a bolsa de Anthropic y la prueba de 2 billones para el creador de Claude, La recaudación de 95.000 millones de Meta para IA lidera un día de gasto de 198.000 millones y La prueba de resultados de las grandes tecnológicas para Alphabet, Amazon y Apple.