Claude Code en Cursor: una actualización con puerta trasera

El 29 de octubre de 2026, entre aproximadamente las 2:27 y las 13:35, hora del Pacífico, el marketplace de extensiones de Cursor ofreció copias manipuladas de Anthropic.claude-code, versiones 2.1.312 y 2.1.313, para macOS y Windows. Según el aviso de Cursor, intentaban instalar una puerta trasera SSH persistente. No habían sido desarrolladas por Anthropic.

No hacía falta instalar una extensión con un nombre sospechoso. El paquete aparecía en el canal de una herramienta conocida. Ars Technica recoge que las extensiones de Cursor se autoactualizan por defecto y atribuye a Cursor un alcance de «a lo sumo 5,000 usuarios». Es un límite reportado de usuarios afectados, no evidencia de que un atacante entrara en 5,000 máquinas.

Para revisar si un equipo estuvo expuesto hay que comprobar las versiones que ejecutó y cómo recibió las actualizaciones. La autoactualización permite que una extensión ya instalada cambie sin que alguien vuelva a revisar sus permisos.

El análisis de Phorion describe código inyectado al principio de extension.js. Se ejecutaba al cargar el módulo, antes del callback normal de activación. No dependía de que una persona le pidiera al modelo una tarea peligrosa.

El implante intentaba añadir una llave del atacante a authorized_keys, habilitar el servicio SSH local y abrir un túnel inverso: una conexión saliente con la que el operador podría alcanzar el SSH de la máquina. También escribía mecanismos para mantener ese acceso después de cerrar el editor o reiniciar, como un LaunchAgent en macOS y una tarea programada con alternativa de inicio de sesión en Windows.

Además enviaba datos de reconocimiento: host, usuario, sistema operativo, directorios, correo de Git e IP pública. Phorion identificó la recolección de hasta 40 nombres de variables de entorno relacionados con credenciales, no sus valores. Un nombre como AWS_ACCESS_KEY_ID le indica al atacante qué buscar si consigue entrar después. El reconocimiento descrito no entregaba por sí solo esa llave.

Hubo errores en el malware. En macOS, la comprobación de Remote Login podía interpretar mal una respuesta de permisos y omitir la activación de SSH. Si el servicio estaba apagado, el túnel no bastaba para entrar. Si ya estaba encendido, el escenario era distinto. Cursor también señala límites de privilegios en macOS y Windows. Aunque fallara el acceso interactivo, podían quedar la llave añadida y la persistencia, además de haberse enviado los datos de reconocimiento.

La aprobación de una llamada de herramienta controla una acción que propone el agente. Una extensión que ejecuta código al cargarse puede actuar sin llegar a esa aprobación. Pedirle al modelo que «no lea secretos» no controla ese código.

La documentación de seguridad de plugins de Claude Code advierte que un plugin instalado puede ejecutar código arbitrario con los privilegios del usuario. Sus reglas de permisos y sandbox cubren las llamadas de herramientas de Claude, no todo el código que un plugin ejecuta por su cuenta. Hay que revisar también los hooks y los procesos de servidores.

Cada componente necesita una revisión distinta. Una skill de texto influye en las instrucciones; un hook ejecuta comandos; un servidor MCP local corre como proceso; uno remoto recibe los datos y credenciales que se le conceden. Conviene incluirlos en el mismo inventario, indicando qué permisos tiene cada uno, sin asumir que todos pueden leer el disco completo.

En la máquina, eso significa comprobar qué archivos puede leer el proceso, qué variables hereda y qué sesiones o credenciales puede usar. El acceso depende del entorno y de los controles que se apliquen fuera del modelo.

The Register recoge la declaración de un miembro del equipo técnico de Anthropic: sus sistemas y laptops no fueron comprometidos; un actor utilizó acceso al marketplace de Cursor para publicar una copia que Anthropic no construyó ni publicó. Falta una explicación técnica pública completa de cómo obtuvo ese acceso. Con esa información, atribuir el incidente a un hackeo de Anthropic sería incorrecto.

La investigación EMBRACE de Forever Security aporta contexto, no otra etapa de ese ataque. Describe fallas distintas en navegadores integrados: ejecución de código en Cursor, suplantación de la dirección de una pestaña en GitHub Copilot y lecturas de archivos locales en Codex, VS Code y Claude Desktop. No afirma que los cinco compartan una vulnerabilidad ni el mismo impacto.

Ambas investigaciones nos llevan a revisar el software que acompaña al agente. No prueban que exista una campaña coordinada ni permiten calcular una tasa de compromiso del sector o concluir que cualquier plugin sea malicioso. Aquí trabajamos con fuentes públicas: no ejecutamos el malware, no reprodujimos EMBRACE ni auditamos las laptops de AE.

Estas son las revisiones que proponemos a partir del incidente. No hemos comprobado su implantación en todos nuestros equipos ni constituyen una certificación de seguridad.

1. Registrar las extensiones, plugins, skills, hooks y servidores MCP instalados. Para cada uno, anotar el origen real, la versión o commit, la máquina o repositorio, el responsable y cómo se actualiza. El nombre del publisher no basta para saber de dónde llegó el paquete.

2. En entornos sensibles, desactivar la actualización desatendida donde sea posible e instalar versiones revisadas. Alguien debe encargarse de los parches urgentes y tener un plazo para aplicarlos; dejar una versión congelada indefinidamente también acumula riesgo. Fijar la versión no acredita su integridad si no se puede verificar su procedencia.

3. Evitar ejecutar el editor como administrador y mantener las credenciales de producción fuera del entorno de trabajo del agente. Los límites de archivos, red e identidades deben aplicarse desde el entorno de ejecución, no depender de instrucciones al modelo.

4. Usar credenciales temporales y específicas para la tarea. Un gestor de secretos ayuda si el proceso solo puede consultar lo que necesita. Mover un token de .env para inyectarlo globalmente al editor conserva buena parte del problema.

5. Preparar la respuesta a un incidente: qué máquinas ejecutaron cada versión, qué evidencia conservar, quién puede aislarlas y cómo revocar sesiones y rotar credenciales desde un sistema confiable. La lista de instalaciones de hoy no reconstruye por sí sola lo que se ejecutó ayer.

Para registrar esa información se puede usar una tabla compartida:

Consulta el aviso actualizado de Cursor y sus indicadores. El proveedor recomienda buscar evidencia en endpoints, red e instalaciones; aislar los hosts con señales de ejecución o puerta trasera; retirar llaves, persistencia y túneles; y evaluar si hay que reconstruir la máquina. Desinstalar la extensión o actualizarla no basta para retirar scripts independientes.

Cursor informa que retiró los paquetes y que el proveedor de alojamiento desactivó el servidor del atacante. Eso interrumpe esa infraestructura; no sustituye revisar los equipos. Recomienda rotar credenciales y sesiones accesibles desde las máquinas afectadas desde un sistema confiable. Que el reconocimiento recolectara solo nombres de variables no descarta acceso posterior a sus valores.

No copies un comando aislado de esta nota como diagnóstico completo. La respuesta necesita el alcance actualizado del proveedor y la evidencia de tu entorno.

Antes de sumar otro agente, elige un equipo y un repositorio representativos. Completa el inventario sin copiar valores de secretos. Separa lo confirmado de lo desconocido y asigna un responsable a cada dato pendiente. El primer hallazgo puede ser tan simple como una dependencia que se actualiza sola y que nadie sabe quién aprobó.

En Agentic Engineering proponemos incluir esa revisión al diseñar un flujo con agentes. Quien lo vaya a operar necesita saber qué puede ejecutar, con qué identidad y cómo retirar su acceso. En nuestra nota sobre contención de evaluaciones abordamos una comprobación relacionada: qué puede alcanzar un entorno que se describe como «aislado».

Lleva el inventario a la próxima revisión del equipo. Para cada componente sin origen, versión o responsable confirmado, acuerden quién lo va a comprobar y cuándo.