Une extension officielle du modèle Claude d'Anthropic a été piratée et a mis en danger jusqu'à 5 000 ordinateurs de développeurs

Anthropic n'a pas encore averti ses clients de cet incident

Une version altérée de l’extension « Claude Code » d’Anthropic pour les éditeurs compatibles avec Visual Studio Code aurait implanté une porte dérobée SSH sur les machines des développeurs, selon la société de sécurité Phorion. La version 2.1.313 est apparue sur Open VSX, la plateforme sur laquelle s’appuient des éditeurs tels que Cursor et Windsurf, et a été disponible dans la boutique de Cursor pendant environ 11 heures le 29 octobre. Cursor estime que jusqu’à 5 000 utilisateurs ont pu être touchés. La charge utile ajoute la clé de l’attaquant aux clés SSH autorisées, puis ouvre un tunnel vers le serveur de l’attaquant afin de récupérer des données telles que le répertoire de travail de la victime, son adresse e-mail Git, ainsi que jusqu'à 40 variables d’environnement. La désinstallation de l’extension ne suffit pas à supprimer la porte dérobée. Cursor précise qu’Anthropic n’a pas développé cette version et qu’il n’a aucune preuve que d’autres versions aient été affectées.

Anthropic est une société américaine d'intérêt public spécialisée dans l'IA, dont le siège social est situé à San Francisco, en Californie. Son produit phare est Claude, une série de grands modèles de langage (LLM) propriétaires. En janvier 2021, dans le but de promouvoir la sécurité de l'IA, Anthropic a été fondée par d'anciens membres d'OpenAI, notamment les frère et sœur Daniela Amodei et Dario Amodei, qui en sont respectivement la présidente et le PDG. L'entreprise est privée, mais prévoit une introduction en bourse en novembre 2026.

Anysphere, Inc., opérant sous le nom de Cursor, est une filiale de SpaceXAI qui propose une IA générative destinée à la production de code informatique. Son produit phare est Cursor, un agent de codage basé sur l'IA et un environnement de développement logiciel. L'IDE Cursor est à l'origine un fork de Visual Studio Code, enrichi des fonctionnalités d'IA supplémentaires telles que la génération de code, les réécritures intelligentes et des suggestions intelligentes.

Des chercheurs de la société de sécurité macOS Phorion ont découvert qu’une version altérée de l’extension « Claude Code » d’Anthropic, destinée aux éditeurs compatibles avec VS Code, avait installé une porte dérobée SSH sur les ordinateurs des développeurs.

La société a repéré le paquet malveillant, version 2.1.313, sur Open VSX, une boutique open source d’extensions VS Code gérée par la Fondation Eclipse. La boutique d’extensions par défaut de VS Code est le Visual Studio Marketplace de Microsoft, où aucune version malveillante n’a été signalée. Ses conditions d’utilisation la limitent aux produits de Microsoft ; par conséquent, les éditeurs basés sur le code open source de VS Code, notamment Cursor et Windsurf, ne peuvent pas l’utiliser et se tournent vers Open VSX à la place.


Les coulisses du code malveillant qui aurait touché des milliers de développeurs

« Le fichier extension.js compromis commence par une expression de fonction injectée et invoquée immédiatement (IIFE) placée en tête du bundle d’extension minifié. Le reste du bundle ressemble à celui d’une extension standard, avec des chaînes de caractères « Claude Code » et « VS Code », des exportations normales d’activation et de désactivation, ainsi que du code d’interface utilisateur », a expliqué Calum Hall, PDG de Phorion.

« Le préfixe injecté importe des modules Node.js standard (child_process, fs, os, path, http et crypto) et s’exécute dès que Node charge le fichier, avant même que la fonction de rappel d’activation normale de l’extension ne soit exécutée. L’utilisateur n’a pas besoin d’interagir avec l’extension pour que la charge utile se déclenche », a-t-il ajouté.

Une fois exécuté, le code ajoute la clé SSH de l’attaquant au fichier des clés autorisées de l’utilisateur, ce qui permettrait à l’attaquant de se connecter en tant que cet utilisateur. Il ouvre ensuite une connexion SSH sortante vers le serveur de l’attaquant, créant ainsi un tunnel que l’opérateur peut utiliser pour se reconnecter à la machine de la victime. Le tunnel continue de fonctionner après la fermeture de l’éditeur, et le logiciel malveillant tente de rétablir la connexion toutes les 60 secondes environ.

Pour survivre à un redémarrage, le logiciel malveillant met en place un mécanisme de persistance sur chaque plateforme. Sur Mac, il installe un fichier de démarrage portant un nom de type Apple ; sous Linux, il ajoute une entrée cron qui s’exécute au redémarrage ; et sous Windows, il tente de créer une tâche planifiée appelée « SysMon » et, en cas d’échec, se rabat sur le dossier « Démarrage ».

Les données recueillies par l'attaquant sur les ordinateurs des développeurs

L’extension envoie au serveur de l’attaquant le nom d’hôte de la machine, le nom d’utilisateur, le système d’exploitation, le répertoire personnel, le répertoire de travail, l’adresse e-mail Git et l’adresse IP publique.

Elle envoie également les noms de jusqu’à 40 variables d’environnement qui ressemblent à des clés, des jetons, des mots de passe ou des identifiants AWS et GCP. Les valeurs restent sur la machine, mais Calum Hall a souligné que cette liste fournit à l’opérateur un inventaire des hôtes contenant des identifiants cloud ou des jetons API, et lui indique ceux qu’il doit cibler en priorité.

Une faille limite les dégâts sous macOS

La clé implantée ne fonctionne que si le service SSH de la machine est actif, et sous macOS, l’étape permettant de l’activer n’est souvent jamais exécutée.

Phorion a identifié la cause du problème : une vérification défectueuse. Le script demande au système si la connexion à distance est désactivée sans disposer des droits d’administrateur ; il reçoit alors un message d’erreur et ignore l’étape qui permettrait d’activer SSH.

Calum Hall a toutefois précisé que cette faille ne constituait pas une protection, car sur un Mac où la connexion à distance est déjà activée, ou sur lequel l’utilisateur l’active par la suite, la porte dérobée est prête à être utilisée.

« L’objectif de cette charge utile est d’obtenir un accès interactif à long terme, et bien que la faille de la porte dérobée SSH minimise l’impact sur macOS, ce logiciel malveillant reste une menace importante qui s’installe de manière persistante et envoie des signaux de reconnaissance de l’hôte à l’opérateur », a souligné Calum Hall.

Onze heures sur le Marketplace et des milliers de victimes potentielles

Dans un avis de sécurité, Cursor a indiqué que la version malveillante avait été disponible sur sa boutique d’extensions VS Code pendant environ 11 heures le 29 octobre 2026. Au maximum 5 000 utilisateurs ont été concernés, et la société prévoit de les contacter directement.

« Cette version malveillante de l’extension n’a pas été développée par Anthropic », a déclaré la société, ajoutant qu’elle ne disposait d’aucune preuve indiquant que d’autres versions de l’extension ou la distribution officielle aient été affectées.

Selon Cursor, l’activation de SSH nécessite des droits d’administrateur dont l’extension ne dispose pas sur la plupart des hôtes Mac et Windows ; sur ces machines, l’attaquant n’aurait donc pas pu se connecter via le tunnel. L’entreprise a collaboré avec le fournisseur de services cloud hébergeant le serveur de l’attaquant pour le mettre hors ligne, ce qui a interrompu à la fois le fonctionnement du tunnel et celui des rapports de données.

Après avoir retiré la version malveillante, Cursor a fermé sa boutique VS Code par mesure de précaution, a procédé à un audit des accès et n’a trouvé aucune autre extension altérée. L’entreprise a ensuite renouvelé ses clés et reconstruit la boutique, qu’elle a remise en service « après s’être assurée qu’il n’y avait plus aucun risque », a-t-elle déclaré sur X. L’incident n’affecte pas les autres extensions téléchargées depuis la boutique Cursor, ni Grok Bot, Grok ou les autres produits SpaceXSI de l’entreprise, a-t-elle ajouté.

La suppression de l'extension ne suffit pas à éliminer la menace

La désinstallation de l’extension ne supprimera pas la porte dérobée, a averti Phorion. Cursor a indiqué que la suppression seule pourrait ne pas suffire, car la charge utile dépose des scripts autonomes qui continuent de s’exécuter.

Toute personne ayant installé ou mis à jour l’extension vers la version 2.1.313 devrait vérifier si son fichier de clés d’autorisation SSH contient une entrée intitulée svc-telemetry. Cursor a publié des commandes permettant d’effectuer cette vérification ainsi que des scripts de nettoyage pour macOS et Windows, et les deux entreprises ont partagé des indicateurs de compromission.

Cet incident s’ajoute à une série de signaux qui amènent certains experts à juger que la menace de l’IA est désormais hors de contrôle. Ces spécialistes s’appuient sur plusieurs développements récents : des modèles capables de s’améliorer de manière autonome, des agents IA ayant échappé à la surveillance humaine pour pirater des services tiers, ou encore une fausse information générée par l’IA et utilisée par l’armée américaine qui, selon certains, aurait failli déclencher une guerre avec la Chine. À cela s’ajoutent les risques de cyberguerre et de bioterrorisme. Malgré des propositions législatives telles qu’un « bouton d’arrêt d’urgence », des lanceurs d’alerte craignent qu’il ne soit déjà trop tard pour enrayer la menace de l'IA.

Sources : Avis de sécurité (Cursor), description de la faille (Microsoft , Phorion, Kevin Beaumont)

Et vous ?

Quel est votre avis sur le sujet ?
Trouvez-vous les conclusions des chercheurs en sécurité de Phorion crédibles ou pertinentes ?

Voir aussi :

Une faille critique dans Claude Code est apparue après la fuite du code source : Anthropic a d'abord divulgué le code source de Claude Code, puis une faille critique a été découverte par Adversa AI

Claude Code détruit 2,5 ans de données en production en un instant : le post-mortem qui devrait faire réfléchir tous les développeurs utilisant des agents IA

Anthropic lance la version bêta publique de Claude Security, un outil de détection des vulnérabilités du code basé sur l'IA et s'appuyant sur le modèle Opus 4.7