Il backdoor di Claude Code dimostra che i plugin degli agenti sono dipendenze privilegiate

Daresti le chiavi del tuo portatile a uno sconosciuto solo perché l'installer porta un nome famoso? Fino a 5.000 sviluppatori si sono trovati esposti proprio a questa scommessa nel corso della settimana, e bastava un clic.

Ecco cosa sappiamo. Cursor, l'azienda di strumenti di programmazione ora di proprietà di SpaceX, ha dichiarato venerdì che una versione modificata con intento malevolo dell'estensione Claude Code di Anthropic è rimasta online nel suo marketplace dalle 2:27 alle 13:35 PT (ora del Pacifico) di giovedì, coinvolgendo fino a 5.000 utenti. Cursor sostiene che Anthropic non ha sviluppato quella build. Cercava di raccogliere nome host, nome utente, sistema operativo e indirizzo IP pubblico, e di impostare un accesso remoto per l'attaccante. Un passaggio chiave richiedeva i diritti di amministratore, quindi sulla maggior parte delle macchine sarebbe fallito. Cursor l'ha rimossa, ha chiuso il marketplace per precauzione, lo ha ricostruito e afferma che nessun'altra estensione è stata colpita.

I ricercatori descrivono qualcosa di peggio di un furto di dati. L'analisi di OpenSourceMalware sostiene che la versione 2.1.313 contenga un loader che viene eseguito prima del vero codice dell'estensione, aggiunge una chiave dell'attaccante, apre un tunnel inverso e stabilisce la persistenza. I resoconti divergono su alcuni dettagli, per esempio sul possibile coinvolgimento di Open VSX, quindi i punti più sottili sono ancora da chiarire.

Il marchio era la vulnerabilità

Nella scheda c'era scritto Anthropic. La nostra ipotesi è che nulla in una normale procedura di installazione avrebbe avvertito uno sviluppatore che qualcosa non andava, ed è proprio questo il punto: per la maggior parte di noi «ufficiale» è una sensazione, non una verifica.

Pensiamo che dire che l'estensione di Anthropic era stata infettata con un backdoor sia abbastanza vero da essere utile e, insieme, leggermente fuori fuoco. Che l'anello debole sia stato un account di pubblicazione, la pipeline del marketplace o qualcos'altro, per l'utente il risultato è identico. Un nome nel campo del publisher è un'etichetta. Chiunque riesca a scrivere in quella scheda eredita tutta la fiducia che l'etichetta porta con sé.

Non è una novità. Un caso del 2025 ha visto una falsa estensione Solidity del marketplace Open VSX usata per rubare 500.000 dollari in criptovalute a uno sviluppatore attento alla sicurezza. Con gli strumenti di coding basati sull'IA cambia il bottino. Un'estensione per agenti sta accanto ai tuoi repository, al tuo terminale, alle tue chiavi API e alle tue credenziali cloud, perché è questo che la rende utile. A nostro avviso è, per come è progettata, la cosa più privilegiata del tuo editor.

I plugin degli agenti meritano il trattamento riservato alle dipendenze di produzione

La maggior parte dei team non lascerebbe mai entrare un pacchetto qualunque in una build senza lockfile, revisione o almeno uno scanner. Le estensioni dell'editor spesso saltano tutto questo. Si aggiornano in silenzio, girano con i permessi del tuo utente e nessuno apre un ticket quando una cambia. Riteniamo che sia un residuo di quando un'estensione era un tema di colori e un linter.

Per questo l'asticella pratica dovrebbe alzarsi. A nostro avviso:

• Una firma che significhi qualcosa. I marketplace dovrebbero verificare che una build provenga dalla pipeline del publisher stesso, e gli editor dovrebbero rifiutare l'aggiornamento automatico quando il controllo fallisce.
• Versioni bloccate e aggiornamenti ritardati. I team possono trattenere le versioni delle estensioni per un giorno o due. In questo caso la build malevola è rimasta online circa 11 ore, quindi un breve ritardo avrebbe probabilmente trasformato molte installazioni in non-eventi.
• Sandboxing. Un'estensione che deve parlare con un servizio di IA non ha bisogno di scrivere chiavi SSH né di creare script di avvio. Le richieste di permesso per queste azioni dovrebbero essere la norma, non una funzione esotica.
• Revisione del percorso di aggiornamento, non solo della prima installazione. La parte inquietante di questo incidente è che, secondo i ricercatori, è arrivato come un semplice salto di versione.

Anche i fornitori hanno un compito. Nelle prime notizie, Anthropic non aveva risposto subito a una richiesta di commento, e Cursor non aveva ancora spiegato, a quanto pare, come avviserà gli utenti coinvolti. Il contenimento sembra ragionevolmente rapido, dato che il marketplace è stato chiuso e ricostruito, e questo merita un riconoscimento. Ma «l'abbiamo rimossa» non equivale a «sei al sicuro».

Cosa fare oggi

Se giovedì hai installato Claude Code dal marketplace di Cursor, controlla quale versione hai ricevuto e chi risulta come publisher. La versione 2.1.313 è quella segnalata. Rimuovere l'estensione non annulla necessariamente una chiave SSH piantata, quindi controlla anche le chiavi autorizzate e le voci di avvio. Cambiare le credenziali che si trovavano su quella macchina è una precauzione sensata, ed è un nostro consiglio, non un'istruzione di un fornitore.

Poi fai la cosa meno urgente: annota quali estensioni e plugin per agenti usa il tuo team e chi decide quando si aggiornano. Se la risposta è «tutti, in automatico», hai trovato il tuo prossimo rischio per la supply chain. Il settore ha impiegato anni a imparare a diffidare dei pacchetti per impostazione predefinita. Gli strumenti per agenti sono i prossimi, e prima smetteremo di fidarci di loro per il logo, meno giovedì come questo ci toccheranno.