Una extensión falsa de Claude Code en Cursor muestra que la cadena de suministro es el punto débil de la IA para programar

Cursor, la plataforma de desarrollo con IA que pertenece a SpaceX, tuvo publicada en su marketplace de extensiones una versión maliciosa de la extensión de Claude Code, la herramienta de programación de Anthropic. Estuvo disponible unas 11 horas el jueves, para Windows, macOS y Linux. Según Cursor, la descargaron «como mucho 5.000 usuarios». La extensión llevaba una puerta trasera, es decir, un acceso oculto que deja a un atacante entrar en el equipo de la víctima. Ese tipo de implante suele servir como punto de partida para hacerse con el control de redes enteras. Cursor cerró temporalmente el marketplace para investigar, publicó instrucciones de limpieza para los afectados y asegura que ninguna otra extensión se vio comprometida.

Al final no pasó a mayores por pura suerte. Según la información publicada, un fallo en el diseño del malware impidió que se instalara del todo en la gran mayoría de los equipos. «Todos tuvieron mucha suerte; esto era un punto de apoyo potencialmente muy peligroso para un atacante», declaró Calum Hall, cofundador y consejero delegado de la empresa de detección Phorion. Su equipo fue el primero en descubrir la extensión, tras encontrarla en el Mac de un cliente. Que la detectara un tercero y no la propia plataforma también es un dato relevante.

Todavía no se sabe cómo llegó la extensión al marketplace. Al principio, algunos investigadores apuntaron a un sistema comprometido de Anthropic. Cursor lo descartó en su alerta de seguridad: esas versiones «no fueron desarrolladas por Anthropic». Desde Anthropic, Felix Rieseberg, miembro del equipo técnico, explicó que no hubo intrusión en sus sistemas ni en los portátiles de sus empleados. Según su versión, un actor malicioso usó el acceso al marketplace de Cursor para publicar una copia manipulada, y las versiones de los canales oficiales de Anthropic no están afectadas. David Dworken, que trabaja en seguridad en la compañía, añadió que Anthropic no participó en la creación, publicación ni alojamiento de esa extensión. Cursor no ha respondido a la pregunta clave: si el origen fue una brecha en su propia plataforma.

Nuestra tesis: la amenaza más inmediata de la IA para programar no es que el modelo «se rebele». Es mucho más prosaica: la cadena de suministro del software. Los asistentes de código funcionan con permisos amplios en las máquinas de los desarrolladores, que son precisamente las que dan acceso a repositorios, credenciales y entornos de producción. Una extensión envenenada en un marketplace popular ofrece al atacante una posición privilegiada. Encaja con algo que venimos señalando: el cuello de botella de la IA agéntica está en el control, los permisos y la gobernanza, no en la capacidad del modelo. Y quien controla la «fontanería» de la distribución (marketplaces, extensiones, integraciones) también concentra el riesgo.

Hay otra derivada incómoda. Los usuarios confiaban en el nombre de Anthropic, pero la extensión llegaba por un canal que Anthropic no controla. A medida que los modelos de frontera se distribuyen a través de terceros, la marca y la responsabilidad se separan. El desarrollador ve «Claude», pero quien custodia la puerta es otro. Eso exige firmas verificables, publicación restringida a los autores legítimos y auditorías de los marketplaces de extensiones al nivel que ya se pide a los repositorios de paquetes.

Nuestra lectura es de preocupación a corto plazo y confianza a largo. Esta vez el incidente se contuvo en horas, con un alcance acotado y con la ayuda de un error del atacante. No conviene contar con esa suerte la próxima vez. La buena noticia es que el ecosistema reaccionó rápido: detección externa, cierre del marketplace y comunicación pública de ambas empresas. Si la industria convierte este susto en estándares (verificación de origen, mínimos privilegios para las extensiones, transparencia sobre las brechas), la programación asistida por IA podrá seguir ganando productividad sin abrir una puerta trasera en cada portátil. Lo pendiente, y lo que conviene exigir, es que Cursor explique cómo ocurrió.