Extension Claude Code piégée : une porte dérobée installée chez des développeurs

Les outils d’IA pour programmer sont devenus des cibles de choix pour les pirates. Fin octobre 2026, une version piégée de l’extension Claude Code, l’assistant de programmation d’Anthropic, a été diffusée aux utilisateurs de Cursor, un éditeur de code très prisé des développeurs. Installée en un clic, elle ouvrait discrètement un accès à distance à leur ordinateur. L’éditeur estime qu’au plus 5 000 personnes ont pu être touchées.

Ce qui s’est passé

Les éditeurs de code comme Visual Studio Code, Cursor ou Windsurf s’enrichissent d'extensions, de petits modules qui ajoutent des fonctions, installés depuis des boutiques en ligne. Visual Studio Code utilise celle de Microsoft, tandis que les éditeurs dérivés, comme Cursor, s’appuient sur Open VSX, un registre ouvert géré par la Fondation Eclipse, ou sur leur propre boutique.

Le 29 octobre 2026, une version 2.1.313 de l’extension Claude Code est apparue sous l’identifiant officiel d’Anthropic. Elle contenait un code ajouté par des pirates. Selon Cursor, elle est restée disponible environ onze heures dans sa boutique d’extensions avant d’être retirée. « Cette version malveillante de l’extension n’a pas été développée par Anthropic », a précisé l’éditeur.

L’alerte a été donnée par plusieurs chercheurs, dont l’entreprise de sécurité Phorion. Les sources divergent sur le registre exact où la version piégée a d’abord été publiée : certains l’ont repérée sur Open VSX, d’autres estiment que seule la boutique de Cursor était touchée. La manière dont les pirates ont obtenu le droit de publier sous le nom d’Anthropic reste à déterminer : vol d’un compte, d’un jeton de publication ou compromission de la chaîne de publication. Aucune atteinte à la version officielle diffusée dans la boutique de Microsoft n’a été signalée.

Ce que faisait le code malveillant

Le code se déclenchait dès le chargement de l’extension par l’éditeur, sans aucune action de l’utilisateur. Il menait plusieurs opérations :

« L’objectif de ce code est un accès interactif de long terme », résume Calum Hall, patron de Phorion. Sur macOS, une erreur dans le code l’empêchait d’activer lui-même la connexion à distance, mais le chercheur prévient que ce n’est pas une protection : la porte dérobée fonctionne si l’option est déjà activée ou l’est plus tard.

La réaction de Cursor

Cursor a retiré la version malveillante, puis fermé temporairement sa boutique d’extensions le temps d’un audit. L’éditeur dit n’avoir trouvé aucune autre extension altérée, a renouvelé ses clés et reconstruit sa boutique avant de la rouvrir, après avoir confirmé l’absence de risque supplémentaire. Il a aussi obtenu de l’hébergeur du serveur pirate sa mise hors ligne, ce qui a coupé les tunnels et l’envoi de données. Cursor indique qu’il contactera directement les utilisateurs concernés et a publié des commandes de vérification et de nettoyage pour macOS et Windows.

Comment savoir si l’on est touché, et que faire

Sont concernés les utilisateurs de Cursor, ou d’un éditeur s’appuyant sur Open VSX, qui ont installé ou mis à jour l’extension Claude Code vers la version 2.1.313 fin octobre 2026. Point essentiel : désinstaller l’extension ne suffit pas, car le code a déposé des scripts indépendants qui continuent de fonctionner.

1. Vérifier la version installée dans la liste des extensions de son éditeur, et l’historique des mises à jour.
2. Chercher la clé pirate : ouvrir le fichier des clés autorisées SSH (authorized_keys, dans le dossier .ssh du répertoire personnel) et repérer une entrée portant la mention svc-telemetry.
3. Rechercher les mécanismes de démarrage : une tâche planifiée nommée SysMon sous Windows, une entrée de démarrage au redémarrage sous Linux, un fichier de lancement imitant un nom Apple sous macOS.
4. Isoler la machine du réseau si une trace est trouvée, puis appliquer les commandes de nettoyage publiées par Cursor.
5. Changer tous les secrets accessibles depuis la machine (jetons GitHub, clés d’API, clés SSH, accès au cloud), depuis un autre ordinateur sain.
6. Réinstaller le système à partir d’une image propre : c’est la recommandation des spécialistes pour une machine compromise.

Une menace qui vise désormais les outils d’IA

Cet incident s’ajoute à une série d’attaques qui ciblent les développeurs à travers leurs outils d’IA. Fin octobre 2026, des chercheurs avaient déjà montré qu'un fichier AGENTS.md piégé pouvait détourner Codex et Claude Code, et de faux installeurs de ChatGPT et Claude servaient à diffuser un logiciel malveillant.

Les assistants de programmation sont des cibles idéales : installés sur les postes de développeurs, ils ont accès au code, aux identifiants et souvent aux serveurs de production. Une seule extension compromise peut ouvrir la porte à toute une entreprise. C’est le principe des attaques dites de la chaîne d’approvisionnement, qui visent un fournisseur pour atteindre ses clients.

Les bons réflexes pour les développeurs

Au-delà de cet incident, quelques mesures limitent les risques.

• Installer les extensions depuis la source officielle indiquée par l’éditeur du logiciel, et vérifier l’identité de l’éditeur de l’extension.
• Figer les versions des extensions dans les environnements sensibles, plutôt que d’accepter toutes les mises à jour automatiques.
• Surveiller le fichier authorized_keys et être alerté de toute modification.
• Restreindre les connexions SSH sortantes depuis les postes de travail lorsque ce n’est pas nécessaire.
• Séparer les secrets : éviter de stocker des clés de production sur un poste de développement.

L’affaire relance aussi la question de la sécurité des boutiques d’extensions, qui reposent largement sur des analyses après publication plutôt que sur un contrôle préalable. Ax Sharma, chercheur chez Manifold Security, estime qu’une extension de programmation qui installe des clés SSH « devrait être repérée en quelques secondes », et qu’il faut surveiller le comportement des extensions plutôt que se fier au seul nom de leur éditeur. Un identifiant officiel n’est en effet pas une garantie : dans ce cas précis, la version piégée portait bien le nom d’Anthropic, ce qui la rendait indiscernable de la vraie pour un utilisateur ordinaire. Les boutiques pourraient renforcer la vérification des comptes de publication et bloquer avant diffusion les extensions au comportement suspect. Pour les utilisateurs de Claude Code comme des autres assistants, la vigilance s’impose à chaque installation.