Un faux Claude Code est resté onze heures dans la boutique de Cursor

Une fausse mise à jour de Claude Code, l’assistant de programmation d’Anthropic, a été proposée pendant plus de onze heures sur la boutique d’extensions de Cursor. Selon Numerama, elle aurait été téléchargée par 5 000 utilisateurs au maximum. L’épisode pose une question simple : que vérifie-t-on vraiment avant d’installer un outil d’IA en un clic ?

Ce qui s’est passé le 29 octobre 2026

Ce qui est en jeu : un outil installé en toute confiance peut ouvrir une porte sur l’ordinateur de travail. Voici d’abord les faits, tels que Numerama les rapporte d’après l’avis de sécurité de Cursor.

Cursor est un éditeur de code, c’est-à-dire le logiciel dans lequel les développeurs écrivent leurs programmes, avec de l’IA intégrée. Il possède une boutique d’extensions : de petits programmes qu’on ajoute pour lui donner de nouvelles fonctions, un peu comme les applications d’un téléphone. Claude Code est l’assistant de programmation d’Anthropic, une IA qui aide à écrire du code.

Le 29 octobre 2026, entre 10 h 27 et 21 h 35 heure de Paris, la boutique a proposé une version piégée de l’extension Claude Code. Dans son avis publié le jour même, Cursor précise qu’il s’agit de la version 2.1.313, qui « n’a pas été développée par Anthropic ». Elle aurait été téléchargée par 5 000 utilisateurs au maximum, que Cursor prévoit de contacter directement.

Un repère sur ce chiffre : 5 000 est un plafond annoncé par Cursor, pas un décompte confirmé de machines infectées. Un téléchargement n’est d’ailleurs pas forcément une exécution réussie.

Ce que l’extension faisait sur les machines

En jeu : comprendre pourquoi une simple extension peut être dangereuse. En général, elle s’exécute avec les droits de la personne qui l’a installée. Elle peut donc voir ce que voit l’éditeur : dossiers de projets, configuration, parfois des clés d’accès. C’est un principe général, pas un détail tiré de l’avis de Cursor.

Selon la communication officielle citée par Numerama, l’extension commençait par dresser le portrait de l’ordinateur. Elle récupérait le système d’exploitation, l’architecture du processeur, le chemin du dossier personnel, l’adresse mail configurée dans Git (le logiciel qui garde l’historique des modifications d’un code) et l’adresse IP publique. Le tout partait vers un serveur contrôlé par l’attaquant.

Elle cherchait ensuite à s’ouvrir un accès durable. Elle glissait pour cela une clé SSH appartenant à l’attaquant, baptisée « svc-telemetry », dans la liste des clés autorisées à se connecter à la machine. SSH est un moyen de prendre la main sur un ordinateur à distance, et la clé joue le rôle d’un badge d’entrée. Le nom choisi évoque un composant technique ordinaire, de ceux qu’on ne remarque pas.

L’extension tentait aussi d’activer le service SSH local et d’ouvrir un « tunnel inverse ». Dans ce cas, c’est l’ordinateur de la victime qui lance la connexion vers le serveur de l’attaquant. Celui-ci peut alors revenir sur la machine quand il le souhaite. Enfin, un mécanisme de persistance devait permettre à l’extension de survivre aux redémarrages.

En clair : le faux Claude Code relevait l’identité de la machine, posait un double de clé et préparait un chemin de retour.

Des erreurs qui ont limité les dégâts

En jeu : savoir si l’on est concerné, et dans quelle mesure. La réponse est nuancée.

Selon Cursor, des erreurs dans le code malveillant ont fait échouer l’ouverture du tunnel. L’exception est « le cas très inhabituel où Cursor avait été démarré avec des privilèges administrateur ». Activer le service SSH local exige en effet ces droits renforcés, que l’extension n’a pas sur la plupart des ordinateurs sous macOS et Windows. Numerama présente ces erreurs comme la raison pour laquelle l’attaque n’a que partiellement fonctionné.

Cette version vient de Cursor lui-même. Le média ne rapporte pas de vérification indépendante, et l’avis ne dit pas si l’échec relève de la maladresse ou d’autre chose.

Les machines touchées ne sont pas pour autant « saines ». Même quand le tunnel échouait, l’extension ajoutait bien la clé de l’attaquant, installait ses scripts de persistance et transmettait les informations sur l’ordinateur. Cursor indique avoir travaillé avec l’hébergeur cloud du serveur malveillant pour le mettre hors ligne.

En clair : l’attaque a raté son objectif le plus grave sur la plupart des machines, mais elle a laissé des traces à nettoyer.

Ce que l’épisode dit de la confiance dans les boutiques

En jeu : ces boutiques ressemblent à des lieux sûrs, et c’est précisément ce qui fait leur valeur pour un attaquant.

Cursor affirme avoir retiré la version malveillante dès sa détection et bloqué sa distribution. Il a ensuite fermé toute sa boutique d’extensions par précaution, le temps de vérifier qu’aucune autre extension n’avait été compromise et de la reconstruire.

Une question centrale reste sans réponse. L’avis ne dit pas comment l’attaquant a réussi à publier, dans la boutique de Cursor, une version de l’extension portant le nom d’Anthropic. D’après les éléments rapportés, rien ne permet de reprocher quoi que ce soit à Anthropic : Cursor lui-même écrit que la version n’a pas été développée par l’entreprise. Rien non plus ne permet de trancher sur les contrôles de Cursor tant que le mécanisme de la publication n’est pas expliqué.

Un seul incident ne prouve pas non plus que les assistants IA soient devenus la cible favorite des pirates. Il montre en revanche que ces outils sont attractifs. Ils tournent sur des machines de développeurs, qui contiennent du code, des accès et des clés. Et on les installe et on les met à jour vite, parce que tout le monde veut la dernière version.

Les réflexes à adopter, en PME comme en indépendant

En jeu : l’épisode a duré onze heures, une durée courte mais suffisante pour toucher des milliers de personnes. Les conseils ci-dessous sont de portée générale. Ils ne viennent pas de l’avis de Cursor, sauf quand c’est précisé.

• Vérifier si vous êtes concerné. Si vous utilisez Cursor, regardez si l’extension Claude Code a été installée ou mise à jour le 29 octobre, entre 10 h 27 et 21 h 35 heure de Paris. La version incriminée est la 2.1.313. Si c’est le cas, suivez les consignes de Cursor et faites examiner la machine. La présence d’une clé « svc-telemetry » dans la liste des clés SSH autorisées est l’indice cité par l’avis.
• Contrôler l’éditeur, pas seulement le nom. Ici, le nom d’Anthropic ne garantissait rien. Comparez avec la page officielle de l’outil, le nombre de téléchargements, l’ancienneté de l’extension.
• Ne pas se précipiter sur chaque mise à jour. Pour un outil qui accède à vos fichiers, attendre quelques heures ou quelques jours réduit le risque de tomber sur une version publiée à la hâte ou détournée.
• Ne pas lancer l’éditeur en administrateur. C’est la raison avancée pour laquelle l’ouverture du tunnel a échoué sur la plupart des machines.
• Limiter ce que l’outil peut voir. Évitez de laisser clés d’accès et mots de passe en clair dans les dossiers de projet. Pour les travaux sensibles, une machine ou un compte séparé protège mieux.
• Dresser la liste des outils IA installés dans l’entreprise. Dans une PME, désignez une personne qui approuve les extensions. Un outil installé « en un clic » par un salarié reste un accès à l’ordinateur de l’entreprise.

La question à suivre : comment un faux a-t-il pu être publié sous le nom d’Anthropic ? La réponse de Cursor, et les conditions de réouverture de sa boutique, diront si la confiance accordée à ces boutiques était bien placée.

Sources

• Des hackers ont distribué une version piégée de Claude Code à des milliers de développeurs, mais se sont pris les pieds dans leur propre code – Numerama