Wie in de AI-code-editor Cursor met de officiële extensie voor Claude werkt, moet even nagaan welke versie er draait. Versie 2.1.313 van die extensie bevatte kwaadaardige code en stond volgens meerdere bronnen bijna twaalf uur online. Cursor bevestigde vrijdag het incident en schat dat hooguit 5.000 gebruikers de besmette versie binnenkregen.

Via het officiële account verspreid

Het gaat om een zogeheten supply-chain-aanval: niet de gebruikers zelf werden aangevallen, maar het distributiekanaal. De besmette update verscheen namelijk via het officiële account van Anthropic in de extensiewinkel van Cursor. Onafhankelijk onderzoeker Kevin Beaumont en beveiligingsbedrijf Phorian bevestigen dat. Hoe de aanvallers toegang kregen tot dat account, hebben Anthropic en Cursor nog niet uitgelegd.

Omdat extensies in Cursor standaard automatisch bijwerken, kon de besmette versie zonder enige handeling van de gebruiker op een computer belanden. Enkele uren later bracht Anthropic versie 2.1.314 uit, die de vorige verving.

Wat de achterdeur deed

Volgens Cursor probeerde de kwaadaardige code een blijvende toegang via SSH te openen. De extensie voegde een sleutel van de aanvaller toe, zette de SSH-dienst aan en opende een omgekeerde tunnel naar buiten. Dat werkte op Windows, macOS en Linux. Een extensie draait met dezelfde rechten als de editor zelf, dus een aanvaller kon in principe bij lokale bestanden, broncode en ontwikkeltools. Phorian vermoedt dat de aanvallers vooral op zoek waren naar inloggegevens voor clouddiensten.

Op het moment van schrijven had Anthropic klanten nog niet publiek gewaarschuwd.

Wat je nu kunt doen

  • Controleer in Cursor welke versie van de Claude-extensie je hebt; 2.1.314 of nieuwer vervangt de besmette versie.
  • Had je 2.1.313 geïnstalleerd? Kijk dan in het bestand authorized_keys in je SSH-map of er onbekende sleutels staan en of de SSH-dienst onverwacht aanstaat.
  • Vervang uit voorzorg API-sleutels en cloudwachtwoorden die op die computer stonden.
  • Overweeg automatische updates van extensies uit te zetten en ze zelf bij te werken.

Agents en extensies als nieuw aanvalsdoel

Het incident past in een reeks waarbij AI-programmeerhulpen zelf het zwakke punt worden. Deze week meldde WIRED al dat de persoonlijke Claude-agent van een Accenture-medewerker maandenlang op een netwerk van het Pentagon zou hebben gedraaid, wat Accenture tegenspreekt (eerder op AI Weekblad). Voor bedrijven in Nederland en de EU is dat relevant: onder de NIS2-regels moeten veel organisaties ook de beveiliging van hun leveranciersketen bewaken, en daar horen editorextensies met brede toegangsrechten nu duidelijk bij.