Una versión manipulada de Claude Code en el mercado de Cursor deja al descubierto el punto débil de la programación con IA

Cursor, la plataforma de desarrollo de software con IA que, según WIRED, pertenece a SpaceX, tuvo en su mercado de extensiones una versión maliciosa de la extensión Claude Code de Anthropic durante unas 11 horas el jueves. Había versiones para Windows, macOS y Linux. Según Cursor, la descargaron «como máximo 5.000 usuarios». La empresa cerró el mercado de forma temporal mientras investigaba y asegura que ninguna otra extensión se vio afectada. Ese mismo jueves publicó los pasos que deben seguir los afectados.

La extensión incluía una puerta trasera, es decir, un acceso oculto que permite al atacante entrar en el equipo de la víctima. Es el tipo de implante que se suele usar como primer paso para tomar un control más profundo de una red. Esto es un ataque a la cadena de suministro: en lugar de atacar a la víctima directamente, se contamina un componente de confianza que ella misma instala. Hubo suerte. Un fallo en el diseño del malware le impidió instalarse por completo en la gran mayoría de los equipos. «Todo el mundo tuvo mucha suerte, esto era un punto de entrada potencialmente muy peligroso para un atacante», dice Calum Hall, cofundador y consejero delegado de Phorion. Esta empresa de detección fue la primera en descubrir la extensión, en el Mac de uno de sus clientes.

Todavía no se sabe cómo llegó la extensión al mercado de Cursor. Al principio, algunos investigadores pensaron que el origen era un sistema comprometido de Anthropic. Cursor lo descartó en su alerta: «estas versiones maliciosas no fueron desarrolladas por Anthropic». Felix Rieseberg, del equipo técnico de Anthropic, escribió en X que no hubo intrusión en sistemas ni portátiles de la compañía. Según él, alguien usó el acceso al mercado de Cursor para publicar una copia manipulada que Anthropic no creó ni publicó, y las versiones de los canales oficiales no están afectadas. David Dworken, del equipo de seguridad de Anthropic, dijo lo mismo. Cursor no respondió a WIRED sobre cómo se produjo la subida ni sobre si hubo una brecha en sus propios sistemas. Esa es la pregunta clave y sigue abierta.

Por qué importa: un equipo de desarrollo es un objetivo muy valioso. Guarda credenciales, claves de acceso a la nube, repositorios de código y, cada vez más, agentes con permiso para ejecutar comandos. Una herramienta de programación con IA tiene por diseño acceso amplio a la máquina. Si alguien la suplanta, hereda todos esos privilegios. Para hacerse una idea de la escala, 5.000 instalaciones en 11 horas son unas 450 por hora. Así de rápido puede propagarse una herramienta falsa cuando lleva un nombre en el que la gente confía.

Nuestra lectura: este incidente refuerza una tesis que venimos defendiendo. En la economía de agentes, el riesgo y el valor se desplazan del modelo a la capa de confianza: credenciales, permisos y, como aquí, los canales de distribución. Nadie «hackeó a Claude». Según Anthropic, se aprovechó un mercado intermedio para colar una copia con un nombre conocido. Es la misma lógica que vimos en el caso Storm-0940 contra la cadena de suministro de ConnectWise. Los atacantes van a donde se concentra la confianza, y los mercados de extensiones de los editores de código con IA son ahora uno de esos lugares. La lección no es desconfiar de la IA. Lo que hace falta es exigir a estas tiendas lo mismo que pedimos a las tiendas de aplicaciones móviles: verificación de quién publica, firma de código y revisión antes de publicar. Y también que el sector no dependa de que el atacante se equivoque.

A corto plazo, quien tenga Cursor debería revisar si instaló la extensión el jueves y aplicar los pasos de Cursor. A largo plazo, la programación con agentes seguirá multiplicando lo que puede hacer un desarrollador, y de ahí saldrá mucha de la abundancia que esperamos de la IA. Pero esa promesa depende de que las tuberías sean seguras. La transparencia de Cursor sobre cómo pudo publicarse la copia será la prueba de si el sector se toma en serio esa infraestructura de confianza.