Cursor דיווחה כי עד 5,000 משתמשים הושפעו מגרסה ששונתה בזדון של הרחבת Claude Code. הקוד ניסה להשאיר גישת SSH למחשב, ויכול היה לפעול בלי שהמשתמש יתחיל שיחה עם הסוכן. האירוע מחדד פער באבטחת כלי פיתוח עם AI: אישור פעולות הסוכן אינו מכסה בהכרח את ההרחבה שמריצה אותו.
גרסה זדונית של הרחבת Claude Code, המזוהה כ־Anthropic.claude-code בגרסה 2.1.313, הופצה בחנות ההרחבות של Cursor ב־29 באוקטובר 2026. לפי הודעת האבטחה של Cursor, החבילה הייתה זמינה במשך כ־11 שעות, ועד 5,000 משתמשים הושפעו. החברה הדגישה שהגרסה הזדונית לא פותחה בידי Anthropic.
בעקבות הזיהוי, Cursor הסירה את החבילה, חסמה את הפצתה והשביתה זמנית את חנות ההרחבות. לדבריה, היא בדקה את הגישה למערכת, החליפה מפתחות, בנתה מחדש את החנות והחזירה אותה לפעילות. החברה מסרה גם שפעלה מול ספק האירוח להשבתת שרת התוקף.
אבל הסרת החבילה מהחנות אינה מוחקת בהכרח את מה שכבר נכתב במחשב. כדי להבין את המשמעות למפתחים ולמי שבונים אתרים בעזרת AI, צריך להפריד בין שלושה דברים: מקור ההרחבה, הרשאות הקוד שלה והפעולות שהסוכן מבקש לבצע.
הקוד הזדוני לא חיכה לשיחה עם Claude
בניתוח שפרסם OpenSourceMalware נמצא קוד זדוני שהוכנס לתחילת הקובץ extension.js, לפני הקוד הרגיל של ההרחבה. לפי החוקרים, טעינת המודול הספיקה להפעלתו; המשתמש לא נדרש להתחיל שיחה עם Claude.
הקוד ניסה להוסיף מפתח SSH בשליטת התוקף, להפעיל שירות גישה מרחוק, ליצור מנהרת SSH ולהתקין מנגנונים שיחזרו לפעול בהמשך. במקביל, הוא אסף פרטים על המחשב ועל המשתמש. החוקרים ציינו כי שגיאות רבות הוסתרו, כך שההרחבה המקורית יכלה להמשיך להיטען גם כאשר חלק מהפעולות הזדוניות נכשלו.
ממשק שנפתח כרגיל אינו מעיד שכל מה שרץ מאחוריו תקין. במקרה המתואר, החלק הלגיטימי והחלק הזדוני התקיימו באותה חבילה.
ההבדל בין הרשאות הסוכן להרשאות ההרחבה
בתיעוד האבטחה של VS Code, מיקרוסופט מסבירה שתהליך ההרחבות פועל עם ההרשאות של העורך עצמו. הרחבה יכולה, בין היתר, לקרוא ולכתוב קבצים, לבצע בקשות רשת ולהפעיל תהליכים חיצוניים. זהו תיאור של מודל ההרשאות ב־VS Code, ולא ממצא על כל תצורה אפשרית של Cursor.
מכאן נובעת ההבחנה המעשית: בקשת אישור לפני שהסוכן מריץ פקודה עוסקת במסלול הפעולה של הסוכן. היא אינה תחליף לבדיקת התוכנה שסביבה. קוד זדוני בתוך הרחבה עשוי לפעול בלי לעבור דרך השיחה ובלי להציג את עצמו כפעולה שהמודל מבקש לאשר.
לכן, לצד הגדרת הרשאות לסוכני AI שפועלים באתר, צריך לבדוק גם את ההרחבות ואת הרשאות המשתמש שמפעיל את העורך. הגבלת פעולות הסוכן ובדיקת סביבת הריצה שלו מטפלות בשכבות שונות של אותה סביבת עבודה.
אותו שם הרחבה אינו מבטיח אותו עותק
האירוע יצר גם בלבול סביב מקור החבילה. OpenSourceMalware עדכן את הדיווח שלו לאחר פנייה מ־Cursor, והבהיר שמקור העותק הזדוני היה בחנות של Cursor, ולא ב־Open VSX כפי שנכתב בתחילה. בעדכון הופרדה החבילה הזאת מחבילת ה־npm ומההרחבות המופצות בערוצים האחרים.
גם בתיעוד Cursor מופיעה הבחנה רלוונטית: אותו מזהה במבנה publisher.extension עשוי להפנות למפרסמים או לקוד שונים בחנויות שונות. החברה מתארת מערכת הפצה שבה חיפוש והורדות עוברים דרך תשתית החנות שלה, עם בדיקות וסינון משלה.
עבור צוות פיתוח, שם המותג הוא רק חלק מפרטי הזיהוי. כדי לברר חשיפה נדרשים גם ערוץ ההתקנה, הגרסה והעותק שהורד בפועל. השאלה ״האם אנחנו משתמשים ב־Claude Code?״ רחבה מדי; השאלה הרלוונטית לאירוע היא האם הותקנה החבילה המסוימת דרך הערוץ שזוהה.
בהתאם למידע שפורסם, אין הצדקה להסיק שהאירוע מוכיח פגיעה במודל Claude או בכל ערוצי ההפצה של Anthropic.
ניסיון הגישה מרחוק יכול להיכשל ולהשאיר שינויים במחשב
בניתוח של חברת האבטחה Phorion תוארה תקלה באופן שבו הקוד ניסה לבדוק ולהפעיל את שירות SSH ב־macOS. בתנאים מסוימים, בדיקת המצב ללא הרשאות מתאימות מחזירה הודעת שגיאה שהקוד אינו מפרש כמצב הדורש הפעלה. כתוצאה מכך, ניסיון הכנת הגישה מרחוק עשוי להיכשל.
עם זאת, החוקרים מתארים פעולות נוספות שאינן תלויות בהצלחת אותו שלב, ובהן הוספת מפתח SSH ויצירת קבצים ומנגנוני הפעלה מתמשכת.
המשמעות היא שיש הבדל בין כישלון בפתיחת חיבור לבין מחשב שלא השתנה. גם השבתת שרת התוקף אינה מסירה מפתח זר או קובץ הפעלה שכבר נוצרו בתחנת העבודה.
עבודה ללא הרשאות מנהל יכולה לצמצם חלק מהיכולות הזמינות לקוד זדוני, אך גם לחשבון משתמש רגיל עשויה להיות גישה לקוד מקור ולכלי פיתוח. היקף הגישה של אותו חשבון הוא חלק מהערכת הנזק האפשרי.
מה צריכים לבדוק מי שהתקינו את הגרסה
בהודעת Cursor מופיע המזהה svc-telemetry, ששימש כתווית למפתח SSH שהקוד הוסיף. החברה פרסמה גם סימני זיהוי נוספים וסקריפטים להסרת הרכיבים המוכרים. היא מדגישה שהסרת ההרחבה לבדה עשויה שלא להספיק, משום שהקוד יוצר קובצי הפעלה עצמאיים.
למי שמזהים התקנה של החבילה הרלוונטית, סדר העבודה המומלץ הוא:
- לתעד את ההתקנה ואת הסימנים שנמצאו. לשמור את פרטי הגרסה, ערוץ ההורדה והממצאים לפני ניקוי.
- לערב את מי שאחראי על אבטחת התחנה. במחשב עבודה, הבדיקה צריכה לכלול גם חיבורים ותהליכים מעבר לתיקיית ההרחבה.
- לטפל בשינויים שהקוד השאיר. לבדוק מפתחות SSH, מנגנוני הפעלה ותהליכי מנהרה לפי ההנחיות המעודכנות.
- לבחון את פרטי הגישה שהיו זמינים לחשבון. בהתאם לממצאים, להחליף אותם ממערכת מהימנה ולבדוק אם נדרשת בנייה מחדש של התחנה.
ניתוח Phorion מדגיש אף הוא שהטיפול צריך לכסות את המפתח, הקבצים, מנגנוני ההתמדה ותהליכי החיבור. עדכון ההרחבה הוא חלק מהטיפול, אך אינו בדיקה של כל השינויים שכבר בוצעו.
לצוותי פיתוח: לנהל גם את מסלול העדכון
בתיעוד העדכני של Cursor מופיעות בקרות לרשימת הרחבות מאושרות ולהשהיית התקנות ועדכונים של גרסאות חדשות. בקרת ההשהיה מאפשרת לקבוע פרק זמן מינימלי מפרסום גרסה ועד התקנתה.
ההמלצה שלנו לצוותים שעובדים עם קוד לקוחות או הרשאות לסביבות פעילות היא לשלב רשימת הרחבות מאושרות עם מדיניות עדכון מבוקרת. השהיה יכולה לתת זמן לזיהוי חבילה בעייתית, אך היא עלולה גם לעכב תיקון אבטחה חשוב. לכן נדרש מסלול חריג לעדכונים דחופים.
לצד זה, כדאי לתעד מאיזו חנות הותקנה כל הרחבה ולהגביל את הגישה של תחנת הפיתוח למערכות שאינן נחוצות לעבודה השוטפת. אלו המלצות שנובעות ממודל ההרשאות ומהאירוע, ולא הוכחה שבקרה אחת הייתה מונעת אותו.
מי שבונה אתרים בעזרת סוכני AI צריך להקפיד על בדיקת הקוד שנכתב עם AI לפני העלאתו לאתר. האירוע ב־Cursor מוסיף לבדיקה גם את כלי הפיתוח עצמו: מאין הגיע, אילו הרחבות הותקנו בו ואילו קבצים ופרטי גישה זמינים להן. בדיקת התוצר ובדיקת הכלי שמייצר אותו משלימות זו את זו.
