La puerta trasera de Claude Code prueba que los plugins de agentes tienen privilegios

¿Le darías las llaves de tu portátil a un desconocido solo porque el instalador lleva un nombre famoso? Esta semana, hasta 5.000 desarrolladores se expusieron justo a esa apuesta, y estaba a un clic.

Esto es lo que sabemos. Cursor, la empresa de herramientas de programación que ahora pertenece a SpaceX, dijo el viernes que una versión modificada con fines maliciosos de la extensión Claude Code de Anthropic estuvo activa en su marketplace desde las 2:27 hasta las 13:35 (hora del Pacífico, PT) del jueves, y que afectó a un máximo de 5.000 usuarios. Cursor asegura que Anthropic no desarrolló esa versión. Intentaba recopilar el nombre de host, el nombre de usuario, el sistema operativo y la dirección IP pública, y configurar un acceso remoto para el atacante. Un paso clave requería derechos de administrador, así que habría fallado en la mayoría de los equipos. Cursor la retiró, cerró el marketplace por precaución, lo reconstruyó y afirma que ninguna otra extensión se vio afectada.

Los investigadores describen algo peor que un simple robo de datos. El análisis de OpenSourceMalware señala que la versión 2.1.313 contiene un cargador que se ejecuta antes del código real de la extensión, añade una clave del atacante, abre un túnel inverso y establece persistencia. Los informes difieren en los detalles, como si Open VSX también estuvo implicado, así que conviene tratar los matices como algo todavía por aclarar.

La marca era la vulnerabilidad

El listado decía Anthropic. Nuestra impresión es que nada en un proceso de instalación normal habría avisado a un desarrollador de que algo iba mal, y ahí está el problema: para la mayoría, «oficial» es una sensación, no una verificación.

Pensamos que decir que la extensión de Anthropic llevaba una puerta trasera es lo bastante cierto como para ser útil y, a la vez, algo secundario. Tanto si el eslabón débil fue una cuenta de publicación, el flujo del marketplace o cualquier otra cosa, el resultado para el usuario es idéntico. Un nombre en el campo del editor es una etiqueta. Quien pueda escribir en ese listado hereda toda la confianza que la etiqueta transmite.

No es nada nuevo. Un caso de 2025 vio cómo una extensión falsa de Solidity del marketplace Open VSX sirvió para robar 500.000 dólares en criptomonedas a un desarrollador consciente de la seguridad. Lo que cambia con las herramientas de programación con IA es lo que se gana con el ataque. Una extensión de agente vive junto a tus repositorios, tu terminal, tus claves de API y tus credenciales en la nube, porque eso es lo que la hace útil. En nuestra opinión, es lo más privilegiado de tu editor por diseño.

Los plugins de agentes merecen el trato que damos a las dependencias de producción

La mayoría de los equipos jamás dejaría entrar un paquete cualquiera en una compilación sin un lockfile, una revisión o, al menos, un escáner. Las extensiones del editor suelen saltarse todo eso. Se actualizan en silencio, se ejecutan con los permisos de tu usuario y nadie abre una incidencia cuando una cambia. Creemos que es un resto de cuando una extensión era un tema de colores y un linter.

Por eso el listón práctico debería subir. En nuestra opinión:

• Una firma que signifique algo. Los marketplaces deberían verificar que una versión sale del propio flujo de publicación del editor, y los editores de código deberían negarse a actualizar automáticamente si esa comprobación falla.
• Versiones fijadas y actualizaciones diferidas. Los equipos pueden mantener las versiones de las extensiones un día o dos. Aquí, la versión maliciosa estuvo disponible unas 11 horas, así que un breve retraso probablemente habría convertido muchas instalaciones en un no-evento.
• Sandbox. Una extensión que necesita hablar con un servicio de IA no necesita escribir claves SSH ni crear scripts de arranque. Los avisos de permisos para esas acciones deberían ser lo normal, no una función exótica.
• Revisar la ruta de actualización, no solo la primera instalación. Lo inquietante de este incidente es que, según los investigadores, llegó como una simple subida de versión.

Los proveedores también tienen trabajo que hacer. En las primeras informaciones, Anthropic no había respondido de inmediato a una petición de comentarios, y Cursor al parecer aún no había explicado cómo avisará a los usuarios afectados. La contención parece razonablemente rápida, ya que el marketplace se cerró y se reconstruyó, y eso merece reconocimiento. Pero «lo hemos retirado» no es lo mismo que «estás limpio».

Qué hacer hoy

Si instalaste Claude Code desde el marketplace de Cursor el jueves, comprueba qué versión tienes y quién figura como editor. La versión 2.1.313 es la señalada. Quitar la extensión no tiene por qué deshacer una clave SSH plantada, así que revisa también tus claves autorizadas y las entradas de inicio. Rotar las credenciales que estuvieran en ese equipo es una precaución sensata, y es un consejo nuestro, no una instrucción de ningún proveedor.

Después, haz lo menos urgente: apunta qué extensiones y plugins de agentes usa tu equipo y quién decide cuándo se actualizan. Si la respuesta es «todos, automáticamente», acabas de encontrar tu próximo riesgo en la cadena de suministro. El sector tardó años en aprender a desconfiar de los paquetes por defecto. Las herramientas de agentes son las siguientes, y cuanto antes dejemos de fiarnos de ellas por el logotipo, menos jueves como este tendremos.