A backdoor no Claude Code prova: plugins de agentes são dependências privilegiadas

Você entregaria as chaves do seu notebook a um desconhecido só porque o instalador leva um nome famoso? Até 5.000 desenvolvedores ficaram expostos a essa aposta esta semana, e ela estava a um clique.

Eis o que sabemos. A Cursor, empresa de ferramentas de programação hoje controlada pela SpaceX, disse na sexta-feira que uma versão modificada de forma maliciosa da extensão Claude Code, da Anthropic, ficou no ar em seu marketplace das 2h27 às 13h35 (horário do Pacífico, PT) de quinta-feira, atingindo até 5.000 usuários. A Cursor afirma que a Anthropic não desenvolveu essa versão. Ela tentava coletar o nome do host, o nome de usuário, o sistema operacional e o endereço IP público, além de montar um acesso remoto para o invasor. Uma etapa-chave exigia direitos de administrador e, por isso, teria falhado na maioria das máquinas. A Cursor a removeu, fechou o marketplace por precaução, o reconstruiu e diz que nenhuma outra extensão foi afetada.

Pesquisadores descrevem algo pior do que uma coleta de dados. A análise da OpenSourceMalware diz que a versão 2.1.313 contém um loader que roda antes do código real da extensão, adiciona uma chave do invasor, abre um túnel reverso e configura persistência. Os relatos divergem em alguns detalhes, como se o Open VSX também esteve envolvido, então os pontos mais finos ainda estão se definindo.

A marca era a vulnerabilidade

A listagem dizia Anthropic. Nossa suposição é que nada em um fluxo de instalação normal avisaria o desenvolvedor de que algo estava errado, e esse é o ponto: para a maioria de nós, "oficial" é uma sensação, não uma verificação.

Para nós, dizer que a extensão da Anthropic recebeu uma backdoor é verdadeiro o bastante para ser útil e, ao mesmo tempo, um pouco ao lado da questão. Seja o elo fraco uma conta de publicação, o pipeline do marketplace ou outra coisa, o resultado para o usuário parece idêntico. Um nome no campo do publicador é só um rótulo. Quem consegue escrever naquela listagem herda toda a confiança que o rótulo carrega.

Isso não é novidade. Um caso de 2025 mostrou uma extensão falsa de Solidity do marketplace Open VSX sendo usada para roubar US$ 500.000 em criptomoedas de um desenvolvedor atento à segurança. O que muda com as ferramentas de programação com IA é o ganho do atacante. Uma extensão de agente fica ao lado dos seus repositórios, do seu terminal, das suas chaves de API e das suas credenciais de nuvem, porque é isso que a torna útil. Na nossa visão, ela é, por design, a coisa mais privilegiada do seu editor.

Plugins de agentes merecem o tratamento que damos às dependências de produção

A maioria das equipes jamais deixaria um pacote qualquer entrar em um build sem lockfile, sem revisão ou pelo menos sem um scanner. Extensões de editor muitas vezes escapam de tudo isso. Elas se atualizam em silêncio, rodam com as permissões do seu usuário e ninguém abre um chamado quando uma muda. Para nós, isso é um resquício do tempo em que extensão era um tema de cores e um linter.

Portanto, o padrão prático deveria subir. Na nossa visão:

• Assinatura que signifique algo. Os marketplaces deveriam verificar se um build vem do pipeline do próprio publicador, e os editores deveriam se recusar a atualizar automaticamente quando essa checagem falhar.
• Versões fixadas e atualizações adiadas. As equipes podem segurar as versões das extensões por um ou dois dias. Aqui, o build malicioso ficou no ar por cerca de 11 horas, então um atraso curto provavelmente teria transformado muitas instalações em não eventos.
• Sandbox. Uma extensão que precisa conversar com um serviço de IA não precisa gravar chaves SSH nem criar scripts de inicialização. Pedidos de permissão para essas ações deveriam ser a norma, não um recurso exótico.
• Revisão do caminho de atualização, e não só da primeira instalação. O mais assustador neste incidente é que, segundo os pesquisadores, ele chegou como um simples aumento de versão.

Os fornecedores também têm sua parte. Na cobertura inicial, a Anthropic não havia respondido de imediato a um pedido de comentário, e a Cursor aparentemente ainda não havia dito como avisará os usuários afetados. A contenção parece razoavelmente rápida, já que o marketplace foi fechado e reconstruído, e isso merece crédito. Mas "nós removemos" não é o mesmo que "você está limpo".

O que fazer hoje

Se você instalou o Claude Code pelo marketplace da Cursor na quinta-feira, confira qual versão recebeu e quem aparece como publicador. A versão 2.1.313 é a apontada. Remover a extensão não desfaz necessariamente uma chave SSH plantada, então olhe também suas chaves autorizadas e as entradas de inicialização. Trocar as credenciais que estavam naquela máquina é uma precaução sensata, e esse é um conselho nosso, não uma instrução de fornecedor.

Depois, faça o que é menos urgente: anote quais extensões e plugins de agentes sua equipe usa e quem decide quando eles são atualizados. Se a resposta for "todo mundo, automaticamente", você achou o seu próximo risco na cadeia de suprimentos. O setor levou anos para aprender a desconfiar de pacotes por padrão. As ferramentas de agentes são as próximas, e quanto antes deixarmos de confiar nelas pelo logotipo, menos quintas-feiras como essa teremos.