Extension Claude Code d’Anthropic : qu’est-ce qui a causé le piratage de 5 000 développeurs ?

Le monde de la cybersécurité est en émoi après la découverte d’une version compromise de l’extension « Claude Code » d’Anthropic, qui aurait exposé jusqu’à 5 000 développeurs à des risques de sécurité informatique. Alors que la société n’a pas encore averti ses clients, les détails de cette attaque soulèvent de sérieuses questions sur la sécurité des extensions et la gestion des incidents par les entreprises technologiques.

L’essentiel à retenir

• Une extension altérée de « Claude Code » a installé une porte dérobée SSH sur les ordinateurs des développeurs.
• La charge utile a été active pendant 11 heures, touchant potentiellement jusqu’à 5 000 utilisateurs.
• Des mesures de sécurité ont été prises, mais la suppression de l’extension ne suffit pas à éliminer toutes les menaces.

Vous êtes peut-être un développeur utilisant des outils d’IA pour optimiser votre code. Imaginez découvrir que l’un de ces outils, sur lequel vous comptiez pour sa fiabilité et sa sécurité, a été compromis. L’extension « Claude Code » d’Anthropic, développée par une société fondée par d’anciens membres d’OpenAI, a vu sa réputation ternie par une version piratée qui a semé le chaos parmi les utilisateurs. Dans un monde où la sécurité informatique est primordiale, cet incident vient rappeler les défis persistants de la cybersécurité.

Comment l’extension Claude Code a été compromise

La société de sécurité Phorion a découvert que la version 2.1.313 de l’extension « Claude Code » avait été modifiée pour intégrer une porte dérobée SSH sur les ordinateurs des développeurs. Cette version a été mise en ligne sur Open VSX, une boutique d’extensions VS Code, et était disponible sur la plateforme Cursor pendant 11 heures.

Selon Phorion, le fichier compromis démarre par une fonction injectée qui se déclenche dès que le fichier est chargé. Cette charge utile malveillante permet à l’attaquant d’ajouter sa clé SSH au fichier des clés autorisées de l’utilisateur, ouvrant ainsi un tunnel vers le serveur de l’attaquant.

Les conséquences pour les développeurs concernés

Cette attaque a permis aux attaquants de collecter diverses informations sur les ordinateurs des développeurs, incluant le nom d’utilisateur, l’adresse e-mail Git, ainsi que des données potentiellement sensibles comme des identifiants AWS et GCP. Bien que les valeurs de ces variables restent sur la machine, l’inventaire des hôtes contenant ces identifiants offre aux attaquants une liste de cibles prioritaires.

Le logiciel malveillant a également mis en place des mécanismes de persistance, ce qui signifie que même après la fermeture de l’éditeur, le tunnel SSH reste actif, posant ainsi un risque continu pour les utilisateurs affectés.

Réactions et mesures prises par Cursor

En réponse à cette attaque, Cursor a pris plusieurs mesures de précaution, notamment la fermeture temporaire de sa boutique d’extensions VS Code et un audit complet des accès. Aucun autre paquet compromis n’a été trouvé, et la boutique a été remise en service après un renforcement des mesures de sécurité.

Cursor a également collaboré avec le fournisseur de services cloud pour mettre le serveur de l’attaquant hors ligne, interrompant ainsi la connexion SSH et la collecte de données. Toutefois, la désinstallation de l’extension ne suffit pas à supprimer la porte dérobée, et des scripts de nettoyage spécifiques doivent être utilisés pour éliminer la menace.

Perspectives de sécurité pour l’avenir d’Anthropic et Cursor

Anthropic, qui prévoit une introduction en bourse en novembre 2026, doit renforcer sa vigilance en matière de sécurité, surtout à l’approche de cet événement. Les incidents de sécurité tels que celui-ci mettent en lumière la nécessité pour les entreprises technologiques de mieux sécuriser leurs produits et d’informer rapidement leurs clients en cas de compromission.

De son côté, Cursor, en tant que filiale de SpaceXAI, devra redoubler d’efforts pour garantir que ses produits, tels que Cursor et Grok Bot, restent à l’abri de telles violations. La confiance des utilisateurs repose sur la capacité de l’entreprise à réagir efficacement aux menaces de cybersécurité.

La sécurité des extensions : un enjeu majeur pour l’industrie technologique

Dans un contexte où les attaques de cybersécurité deviennent de plus en plus sophistiquées, les entreprises doivent non seulement renforcer la sécurité de leurs produits, mais aussi collaborer avec des partenaires pour partager des informations sur les menaces potentielles. Les incidents récents montrent que même les acteurs de l’IA les plus avancés, comme Anthropic, ne sont pas à l’abri des cyberattaques.

Les entreprises peuvent s’inspirer des meilleures pratiques en matière de sécurité, telles que la mise en place de programmes de divulgation de vulnérabilités et l’utilisation de technologies de détection des intrusions. De plus, les partenariats avec des sociétés de cybersécurité spécialisées peuvent offrir une défense proactive contre les menaces émergentes.

FAQ

Comment savoir si mon ordinateur a été affecté par la version compromise de Claude Code ?

Vérifiez votre fichier de clés d’autorisation SSH pour voir s’il contient une entrée intitulée svc-telemetry. Cursor a fourni des commandes spécifiques pour effectuer cette vérification et des scripts de nettoyage pour les systèmes macOS et Windows.

Que dois-je faire si mon ordinateur a été compromis ?

Utilisez les scripts de nettoyage fournis par Cursor pour supprimer les scripts autonomes laissés par la charge utile. Assurez-vous également d’auditer vos systèmes pour toute activité suspecte et envisagez de changer vos identifiants sensibles.

L’incident affecte-t-il d’autres produits d’Anthropic ou de Cursor ?

Selon Cursor, l’incident n’affecte pas les autres extensions téléchargées depuis leur boutique ni les autres produits de l’entreprise comme Grok Bot ou Grok.

Comment Cursor a-t-il réagi à cette attaque ?

Cursor a fermé sa boutique d’extensions VS Code pour un audit complet des accès, collaboré avec le fournisseur de services cloud pour mettre le serveur de l’attaquant hors ligne, et renforcé ses mesures de sécurité avant de rouvrir la boutique.

Partagez cet article

Facebook (nouvel onglet)X (nouvel onglet)LinkedIn (nouvel onglet)WhatsApp (nouvel onglet)E-mailCopier le lien

[Nouveau] 4 ebooks sur le digital marketing à télécharger gratuitement

Cet article vous a plu ? Recevez nos prochains articles par mail

D’autres articles sur le même thème :