Agenten-Plugins sind privilegierte Abhängigkeiten – die Claude-Code-Hintertür zeigt es

Würden Sie einem Fremden die Schlüssel zu Ihrem Laptop geben, nur weil der Installer einen bekannten Namen trägt? Genau auf diese Wette haben sich diese Woche bis zu 5.000 Entwickler eingelassen – und sie war nur einen Klick entfernt.

Das ist der bisherige Stand. Cursor, der Anbieter von Programmierwerkzeugen, der inzwischen zu SpaceX gehört, erklärte am Freitag, eine bösartig veränderte Version der Claude-Code-Erweiterung von Anthropic sei am Donnerstag von etwa 2:27 Uhr bis 13:35 Uhr PT (Pacific Time) in seinem Marketplace verfügbar gewesen und habe bis zu 5.000 Nutzer betroffen. Laut Cursor hat Anthropic diesen Build nicht entwickelt. Er versuchte, Hostnamen, Benutzernamen, Betriebssystem und öffentliche IP-Adresse zu erfassen und einen Fernzugriff für den Angreifer einzurichten. Ein entscheidender Schritt erforderte Administratorrechte und wäre auf den meisten Rechnern gescheitert. Cursor nahm die Version vom Netz, schloss den Marketplace vorsorglich, baute ihn neu auf und gibt an, dass keine andere Erweiterung betroffen war.

Forscher beschreiben etwas Übleres als einen Datenabgriff. Die Analyse von OpenSourceMalware besagt, dass Version 2.1.313 einen Loader enthält, der vor dem eigentlichen Erweiterungscode läuft, einen Schlüssel des Angreifers hinzufügt, einen Reverse-Tunnel öffnet und Persistenz herstellt. Die Berichte weichen in Details voneinander ab, etwa darin, ob auch Open VSX beteiligt war; die feineren Punkte sind daher noch mit Vorsicht zu behandeln.

Die Marke war die Schwachstelle

Im Eintrag stand Anthropic. Unsere Vermutung: Nichts im normalen Installationsablauf hätte einem Entwickler signalisiert, dass etwas nicht stimmt – und genau das ist der Punkt: Für die meisten von uns ist „offiziell“ ein Gefühl, keine Überprüfung.

Wir halten die Darstellung, die Erweiterung von Anthropic sei mit einer Hintertür versehen worden, für zutreffend genug, um nützlich zu sein, und zugleich für leicht am Kern vorbei. Ob das schwache Glied ein Publisher-Konto, eine Marketplace-Pipeline oder etwas anderes war: Für den Nutzer sieht das Ergebnis gleich aus. Ein Name im Publisher-Feld ist ein Etikett. Wer auf diesen Eintrag schreiben kann, erbt das gesamte Vertrauen, das das Etikett mit sich bringt.

Neu ist das nicht. Ein Fall aus dem Jahr 2025 zeigte, wie eine gefälschte Solidity-Erweiterung aus dem Open-VSX-Marketplace genutzt wurde, um einem sicherheitsbewussten Entwickler Kryptowährung im Wert von 500.000 Dollar zu stehlen. Bei KI-Coding-Werkzeugen ändert sich der Gewinn für Angreifer. Eine Agenten-Erweiterung läuft direkt neben Ihren Repositories, Ihrem Terminal, Ihren API-Schlüsseln und Ihren Cloud-Zugangsdaten, weil sie gerade dadurch nützlich wird. Unserer Ansicht nach ist sie damit konstruktionsbedingt das am stärksten privilegierte Element Ihres Editors.

Agenten-Plugins verdienen die Behandlung von Produktionsabhängigkeiten

Die meisten Teams würden nie ein beliebiges Paket ohne Lockfile, Review oder wenigstens einen Scanner in einen Build lassen. Bei Editor-Erweiterungen entfällt all das oft. Sie aktualisieren sich unbemerkt, laufen mit den Rechten Ihres Benutzerkontos, und niemand legt ein Ticket an, wenn sich eine ändert. Das ist aus unserer Sicht ein Überbleibsel aus der Zeit, als eine Erweiterung ein Farbschema und ein Linter war.

Die praktische Messlatte sollte sich daher verschieben. Unserer Ansicht nach:

• Signaturen, die etwas bedeuten. Marketplaces sollten prüfen, dass ein Build aus der eigenen Pipeline des Herausgebers stammt, und Editoren sollten automatische Updates verweigern, wenn diese Prüfung fehlschlägt.
• Versionen festschreiben und Updates verzögern. Teams können Erweiterungsversionen einen oder zwei Tage zurückhalten. Hier war der schädliche Build etwa 11 Stunden online; eine kurze Verzögerung hätte viele Installationen wohl zum Nicht-Ereignis gemacht.
• Sandboxing. Eine Erweiterung, die mit einem KI-Dienst kommunizieren muss, braucht keine SSH-Schlüssel zu schreiben oder Startskripte anzulegen. Berechtigungsabfragen für solche Aktionen sollten der Normalfall sein, nicht eine exotische Funktion.
• Den Update-Pfad prüfen, nicht nur die Erstinstallation. Beunruhigend an diesem Vorfall ist, dass er laut Forschern als Versionssprung ankam.

Auch die Anbieter haben Aufgaben. In der frühen Berichterstattung hatte Anthropic auf eine Anfrage nach einer Stellungnahme nicht sofort geantwortet, und Cursor hatte offenbar noch nicht mitgeteilt, wie es betroffene Nutzer benachrichtigen will. Die Eindämmung wirkt recht zügig, da der Marketplace geschlossen und neu aufgebaut wurde; das verdient Anerkennung. Doch „Wir haben es entfernt“ ist nicht dasselbe wie „Ihr System ist sauber“.

Was heute zu tun ist

Wer Claude Code am Donnerstag über den Cursor-Marketplace installiert hat, sollte prüfen, welche Version er erhalten hat und wer als Herausgeber geführt wird. Version 2.1.313 ist die gemeldete. Das Entfernen der Erweiterung macht einen eingeschleusten SSH-Schlüssel nicht zwingend rückgängig; prüfen Sie daher auch Ihre autorisierten Schlüssel und Autostart-Einträge. Zugangsdaten zu erneuern, die auf diesem Rechner lagen, ist eine vernünftige Vorsichtsmaßnahme – das ist unser Rat, keine Anweisung eines Anbieters.

Danach folgt das weniger Dringende: Halten Sie fest, welche Agenten-Erweiterungen und Plugins Ihr Team einsetzt und wer entscheidet, wann sie aktualisiert werden. Lautet die Antwort „alle, automatisch“, haben Sie Ihr nächstes Lieferkettenrisiko gefunden. Die Branche hat Jahre gebraucht, um Paketen standardmäßig zu misstrauen. Agenten-Tooling ist als Nächstes dran, und je eher wir aufhören, ihm wegen eines Logos zu vertrauen, desto weniger Donnerstage wie diesen wird es geben.