Estensione Claude Code falsa nel marketplace di Cursor: cosa è successo e come controllare le tue estensioni

Sembrava un normale aggiornamento. Il 29 ottobre 2026, per circa 11 ore, il marketplace delle estensioni di Cursor, uno degli editor di codice con AI più usati, ha distribuito una versione manomessa dell'estensione Claude Code. Secondo una stima di Cursor riportata da Reuters e The Verge, fino a circa 5.000 persone potrebbero averla installata.

Non è un problema di Claude né di Anthropic: quelle versioni non le aveva fatte Anthropic, le aveva modificate qualcun altro. È però un ottimo esempio di un rischio che riguarda chiunque lavori con strumenti AI: le estensioni che installiamo con un clic hanno accesso al nostro computer quanto noi. Vediamo cosa è successo e, soprattutto, cosa fare.

Cosa è successo

Secondo l'avviso di sicurezza pubblicato da Cursor, tra circa le 2:27 e le 13:35 ora del Pacifico del 29 ottobre (dalle 10:27 alle 21:35 ora italiana) nel marketplace è stata disponibile una versione modificata dell'estensione Anthropic.claude-code, nelle versioni 2.1.312 e 2.1.313, per Windows e macOS.

Il dettaglio che la rendeva insidiosa: aveva lo stesso identificativo dell'estensione originale. Per l'editor era un aggiornamento come un altro, e chi aveva l'aggiornamento automatico attivo poteva riceverlo senza fare nulla. Il codice malevolo partiva appena l'editor caricava l'estensione, senza bisogno di aprire Claude o scrivere un prompt.

Cosa faceva l'estensione falsa

Stando all'analisi di Cursor, l'estensione:

raccoglieva informazioni sul computer e le inviava all'attaccante: nome del PC, nome utente, sistema operativo, architettura, cartelle di lavoro, email configurata in Git, indirizzo IP pubblico e i nomi (non i valori) di alcune variabili d'ambiente;
provava a installare una «backdoor» SSH, cioè un accesso remoto nascosto al computer: aggiungeva una chiave dell'attaccante, tentava di attivare il servizio SSH e di aprire un tunnel verso il suo server;
si rendeva persistente, con script che si riavviavano da soli (un LaunchAgent su macOS, un'attività pianificata su Windows) e riprovavano il collegamento circa ogni 60 secondi.

La buona notizia: sulla maggior parte dei PC l'attacco è fallito

Qui serve un po' di calma. Attivare il servizio SSH richiede i permessi di amministratore, che l'estensione nella maggior parte dei casi non aveva. Cursor scrive che, salvo casi molto particolari in cui l'editor era stato avviato come amministratore, quel passaggio falliva anche per errori nel codice dell'attaccante, e quindi l'attaccante non poteva entrare dal tunnel. In più, insieme al provider che lo ospitava, Cursor ha fatto spegnere il server dell'attaccante.

Questo però non significa che si possa ignorare: la chiave dell'attaccante, gli script di persistenza e l'invio dei dati del computer andavano comunque a segno. E, attenzione, disinstallare l'estensione non basta, perché gli script restano e continuano a girare anche senza l'editor aperto.

Cosa ha fatto Cursor

ha rimosso le versioni malevole appena individuate e bloccato la distribuzione;
per prudenza ha spento l'intero marketplace, verificato gli accessi e confermato che nessun'altra estensione era stata alterata;
ha cambiato le proprie chiavi, ricostruito il marketplace e lo ha rimesso online;
ha pubblicato un avviso con le istruzioni per verificare i computer e gli script per ripulirli.

Al momento in cui scrivo non è stato spiegato pubblicamente come una versione con l'identificativo di Anthropic sia finita nel marketplace.

Come capire se ti riguarda

Ti riguarda solo se, il 29 ottobre in quella finestra di tempo, hai installato o aggiornato l'estensione Claude Code da Cursor su Windows o macOS. Il segnale principale indicato da Cursor è la presenza, tra le chiavi SSH autorizzate, di una chiave chiamata svc-telemetry. Su Mac puoi controllare dal Terminale:

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "chiave trovata" || echo "nessuna chiave: PC non colpito"

Per Windows (PowerShell) e per gli script di pulizia, segui direttamente l'avviso ufficiale di Cursor, che è la fonte da cui partire.

Se la chiave c'è, Cursor raccomanda di: isolare il computer, eseguire lo script di pulizia (o valutare di reinstallare il sistema), rimuovere chiave e script di persistenza, e cambiare password, chiavi e sessioni a cui quel PC aveva accesso, facendolo da un dispositivo sicuro.

Come controllare le estensioni in generale

Anche se questo caso non ti ha toccato, è il momento giusto per una piccola pulizia. Bastano dieci minuti:

Apri l'elenco delle estensioni del tuo editor o del browser (in VS Code e Cursor è il pannello Estensioni) e guarda cosa c'è davvero installato.
Disinstalla quello che non usi: ogni estensione in meno è un rischio in meno.
Controlla l'editore: nome, numero di installazioni, data dell'ultimo aggiornamento. Un'estensione molto famosa con un editore strano è un campanello d'allarme.
Valuta di spegnere l'aggiornamento automatico sugli strumenti critici, aggiornando a mano dopo qualche giorno.
Non usare l'editor come amministratore: in questo caso è proprio quello che ha fermato l'attacco.
Segui gli avvisi di sicurezza dei tool che usi ogni giorno (blog, newsletter, profili ufficiali).

Cosa significa per una PMI

Se in azienda qualcuno scrive codice, automatizza processi o usa assistenti AI dentro l'editor, serve almeno una regola semplice: sapere quali estensioni sono installate sui PC di lavoro e chi può installarne di nuove. Le estensioni lavorano con gli stessi permessi della persona che le usa: se quella persona ha accesso a gestionale, cloud e dati dei clienti, ce l'ha anche l'estensione. Non serve rinunciare agli strumenti AI, serve usarli con un minimo di metodo.

Fonti

Ogni giorno racconto l'intelligenza artificiale utile per chi lavora, senza giri di parole. Seguimi su Instagram @fpisanti_, su X @Pisantifra e su TikTok @pisantifrancesco.