Uma versão adulterada da extensão Anthropic.claude-code 2.1.313 foi disponibilizada no marketplace de extensões VS Code do Cursor entre 2h27 e 13h35, no horário do Pacífico, de 29 de outubro de 2026. Segundo o aviso de segurança do Cursor, o pacote tentava coletar dados do computador, inserir uma chave SSH controlada por atacante, criar persistência e abrir um túnel reverso. A versão já foi retirada, mas desinstalar a extensão pode não bastar para quem a executou: o próprio Cursor recomenda investigar indicadores, remover persistência e rotacionar credenciais.
O que foi comprometido — e o que não foi confirmado
O incidente atingiu uma distribuição específica da extensão Claude Code no marketplace do Cursor: a versão 2.1.313, para macOS em Apple Silicon e Windows x64. O Cursor afirma ter removido o pacote malicioso, interrompido a distribuição, auditado o acesso ao marketplace, rotacionado chaves e reconstruído o serviço. A empresa também informou que o servidor usado pelo atacante foi derrubado com apoio do provedor de nuvem.
Há uma distinção importante: o aviso diz que não há evidência de comprometimento de outras versões nem da distribuição oficial do Claude Code. Portanto, não é correto tratar o caso como uma invasão confirmada à infraestrutura da Anthropic ou como comprometimento automático de todos os usuários de Claude Code. O escopo confirmado é a cópia maliciosa servida pelo marketplace do Cursor naquela janela.
Mesmo assim, o risco exige atenção porque extensões de IDE executam código dentro de ambientes onde desenvolvedores costumam ter repositórios privados, tokens de nuvem, chaves SSH, sessões de serviços e credenciais de produção.
Como o payload tentava obter persistência
De acordo com a análise técnica publicada pelo Cursor, a extensão coletava nome do host, usuário, sistema operacional, arquitetura, diretório inicial, nomes de variáveis de ambiente, diretórios de trabalho, e-mail Git configurado e IP público. Em seguida, tentava acrescentar uma chave pública marcada como svc-telemetry ao arquivo authorized_keys.
O objetivo era habilitar ou alcançar um servidor SSH local e criar um túnel reverso para a infraestrutura do atacante. No macOS, a persistência tentava usar um LaunchAgent; no Windows, uma tarefa agendada e um fallback no diretório de inicialização. Scripts de fundo fariam novas tentativas aproximadamente a cada 60 segundos.
O Cursor ressalva que a etapa de ativar o SSH local normalmente exigiria privilégios de administrador e continha erros que fariam essa parte falhar na maioria dos computadores macOS e Windows. Isso reduz a probabilidade de um acesso remoto SSH bem-sucedido em muitas máquinas, mas não elimina o incidente: a empresa afirma que a chave não autorizada, os artefatos de persistência e o envio de informações do host ainda podiam ocorrer.
Quem precisa investigar agora
A prioridade são organizações e desenvolvedores que instalaram ou atualizaram a extensão Anthropic.claude-code para a versão 2.1.313 pelo marketplace do Cursor entre 2h27 e 13h35 (PT) de 29 de outubro. Times de segurança devem correlacionar esse intervalo com telemetria de endpoints, inventário de extensões, logs de proxy e alertas de SSH.
O indicador mais simples é a presença de svc-telemetry em ~/.ssh/authorized_keys. No macOS, o Cursor orienta verificar:
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "chave encontrada" || echo "nenhuma chave encontrada"Esse comando é apenas um primeiro filtro: um resultado negativo não deve encerrar uma investigação corporativa se houver evidência de instalação do pacote comprometido. A própria empresa também listou arquivos ocultos em ~/.config, arquivos temporários, um LaunchAgent chamado com.apple.sysmond, uma tarefa SysMon no Windows e tentativas de conexão ao IP 134.209.82.225. Indicadores de rede precisam ser interpretados com contexto e, idealmente, investigados pela equipe de segurança em vez de serem bloqueados ou apagados sem preservação de evidências.
Resposta recomendada: remover, conter e rotacionar
- Identifique os endpoints expostos. Cruze o histórico de extensões do Cursor com a janela de distribuição e verifique se a versão 2.1.313 foi instalada ou atualizada.
- Isole máquinas com sinais de execução. Se houver chave adicionada, artefato de persistência, processo suspeito ou conexão aos indicadores divulgados, limite a conectividade antes de limpar o host.
- Use a remediação oficial. O Cursor disponibilizou scripts para macOS e Windows que removem a extensão, a chave, mecanismos de persistência e processos de túnel. Em ambientes gerenciados, a execução deve passar pelo processo interno de resposta a incidentes.
- Rotacione segredos a partir de um equipamento confiável. Tokens de GitHub, GitLab, nuvem, registros de contêineres, chaves de API, cookies de sessão e chaves SSH acessíveis na máquina merecem revisão. O fato de a coleta inicial ter listado variáveis de ambiente não prova exfiltração de todo segredo, mas torna a rotação prudente.
- Avalie reconstruir a máquina. Para estações com acesso a produção ou código sensível, uma reinstalação controlada pode oferecer garantia maior do que uma limpeza pontual, especialmente quando persistência foi detectada.
Por que extensões de agentes de código ampliam a superfície de ataque
Ferramentas de programação com IA não são apenas interfaces de chat. Elas leem árvores de arquivos, iniciam processos, integram-se ao Git, acessam terminais e, em muitos fluxos, recebem permissões para executar comandos. Esse conjunto de capacidades é valioso para produtividade, mas também concentra privilégios que antes estavam espalhados entre editor, terminal e ferramentas de CI.
O caso reforça uma prática básica: marketplace não é sinônimo de cadeia de suprimentos verificada. Organizações devem fixar versões aprovadas, controlar extensões por política, registrar hashes de pacotes quando possível e limitar credenciais disponíveis em estações de desenvolvimento. Para extensões com acesso a execução de comandos, a revisão deve considerar também o mecanismo de atualização automática.
Análise do NoticIA
O aspecto mais relevante deste episódio não é a marca Claude Code, mas o caminho de distribuição. Desenvolvedores passaram a tratar agentes de código como parte do ambiente operacional, e isso eleva uma extensão de editor à categoria de ativo de segurança. A resposta do Cursor — retirada do pacote, derrubada do servidor e publicação de indicadores detalhados — ajuda a contenção. Porém, a necessidade de rotacionar credenciais mostra que a defesa não termina no marketplace: ela depende de inventário de endpoints, segmentação de privilégios e capacidade de resposta.
Para equipes brasileiras, a lição prática é incluir extensões de IDE no mesmo processo de governança aplicado a dependências de software e imagens de contêiner. A adoção de IA para programação continua viável, mas precisa vir acompanhada de permissões mínimas, contas separadas para desenvolvimento e produção e uma trilha clara para atualizar ou bloquear plugins rapidamente.
O que permanece em aberto
O aviso público não informa quantos usuários instalaram a versão comprometida, nem atribui formalmente o ataque a um grupo. Também não permite concluir, apenas pela instalação, que cada computador teve um túnel SSH funcional ou segredos acessados. Esses limites importam: uma resposta técnica rigorosa deve separar o que foi confirmado pelo Cursor — pacote malicioso, comportamento tentado, indicadores e medidas de contenção — do que ainda depende de investigação em cada ambiente.
O Cursor pediu que dúvidas adicionais sejam encaminhadas ao seu canal de segurança. Usuários afetados devem seguir as instruções oficiais atualizadas, porque indicadores e scripts de remediação podem ser revisados à medida que a apuração avance.
Descubra mais sobre noticiAI
Assine para receber nossas notícias mais recentes por e-mail.
