L'extension Claude Code sur Cursor a été piégée pendant près de douze heures

Jeudi 29 octobre 2026, une version piégée de l'extension officielle Claude Code d'Anthropic a été diffusée sur la place de marché de Cursor pendant près de douze heures, de 5 h 27 à 16 h 35, heure de l'Est des États-Unis. Selon Cursor, cité par Ars Technica le 30 octobre, la version 2.1.313 a pu toucher au plus 5 000 personnes, et Anthropic n'avait toujours pas publié d'avertissement à ses clients au moment de l'article.

Luke Roberts, directeur technique et cofondateur de Phorian, décrit à Ars une compromission de la chaîne de distribution : l'attaquant a publié la version malveillante depuis le compte Anthropic vérifié, à la place de la 2.1.312. Ni Cursor ni Anthropic n'expliquent comment ce compte a été pris. Les extensions de Cursor se mettent à jour toutes seules, sauf réglage contraire. Installer ensuite la 2.1.314, poussée par Anthropic quelques heures plus tard, n'efface pas une porte déjà posée.

« It was a supply-chain compromise where the attacker gained access to the official distribution channel. »

Luke Roberts, de Phorian, à Ars Technica. La phrase constate le canal, pas le moyen par lequel le compte a été ouvert.

Que tentait de faire la version 2.1.313 ?

Cursor décrit un programme qui collecte le nom de la machine, le nom d'utilisateur, le système, l'architecture, le dossier personnel, les noms des variables d'environnement — pas leurs valeurs —, les répertoires de travail, l'adresse électronique Git configurée et l'adresse IP publique. Il tente ensuite d'ajouter une clé SSH contrôlée par l'attaquant, d'activer le service SSH local et d'ouvrir un tunnel inverse. Une persistance était prévue via un LaunchAgent sur macOS ou une tâche planifiée sur Windows, avec une nouvelle tentative environ toutes les 60 secondes, et un signal envoyé en HTTP vers le port 8099 d'un serveur.

Cursor ajoute que des erreurs dans le code malveillant faisaient échouer l'étape SSH, sauf cas très inhabituel où Cursor aurait été lancé avec des droits d'administrateur. Phorian juge malgré tout la menace réelle : la persistance et l'inventaire de la machine partent quand même. Les noms de variables permettent, selon Phorian, de repérer vite quelles machines détiennent des jetons de cloud, sans que l'article d'Ars ne dise que ces jetons ont été exfiltrés. L'extension s'exécute avec les droits de l'environnement de développement : fichiers locaux et code source lui sont accessibles une fois installée.

Qui doit vérifier sa machine ?

Toute personne qui a installé ou laissé se mettre à jour l'extension Anthropic depuis Cursor pendant ce créneau, et plus largement quiconque l'avait installée et laissait les mises à jour automatiques. Ars écrit qu'au plus 5 000 utilisateurs sont concernés, un plafond donné par Cursor, pas un décompte d'infections confirmées. Cursor dit avoir fait couper le serveur de rebond chez l'hébergeur, retiré la version piégée, fermé la place de marché le temps de renouveler des clés et de vérifier qu'aucune autre extension n'était touchée, puis rouvert la place. Cette vérification est celle de Cursor.

Le sujet rejoint d'autres pièges visant les agents de codage, comme un fichier AGENTS.md déposé dans Téléchargements ou un piège dans la configuration Git. Ici, le vecteur n'est pas un fichier que l'on ouvre : c'est la mise à jour signée par le compte de l'éditeur. Les indicateurs précis (adresses, empreintes) sont listés par Cursor et par Phorian ; Ars n'en publie pas le détail dans le corps de l'article lu.

Source

Article de Dan Goodin sur Ars Technica, publié le 30 octobre 2026 et lu intégralement. Les faits attribués à Cursor et à Phorian viennent de ce papier. Anthropic n'avait pas, à cette date, publié sa propre alerte.