AI-säkerhetsföretag lämnade bakdörrar i sin mjukvara

Anthropics officiella tillägg till kodredigeraren VS Code blev förra veckan manipulerat på Curators marknadsplats i nästan tolv timmar. En bakdörr exponerade upp till 5 000 utvecklare för en attack via SSH — och Anthropic, företaget som byggt hela sin varumärke på »AI-säkerhet», har inte varnat en enda kund.

Det komprometterade paketet, version 2.1.313, distribuerades genom Anthropics eget officiella konto på Cursor, enligt både den oberoende forskaren Kevin Beaumont och Luke Roberts, teknisk chef på säkerhetsföretaget Phorion. Det ersatte den legitima versionen 2.1.312 och installerades automatiskt för användare av verktyget. Varken Cursor eller Anthropic har förklarat hur angriparna fick kontroll över den officiella distributionskanalen.

Den skadliga koden var plattformsoberoende och skriven för att köras på Windows, macOS och Linux. Enligt Cursors egen incidentrapport samlade den in information om värddatorn och användaren — värdnamn, användarnamn, operativsystem, arkitektur, hemkatalog, namn på miljövariabler, arbetskataloger, e-postadress kopplad till Git och offentlig IP-adress. Den försökte också lägga till en SSH-nyckel som angriparen kontrollerade, aktivera den lokala SSH-tjänsten och öppna en bakåttunnel. Fasta spår lades via en LaunchAgent på macOS eller ett schemalagt jobb på Windows, med nya försök ungefär var sextionde sekund och statusrapportering till angriparen över HTTP.

Phorion pekade på att stölden av miljövariabelnamn lät angriparen kartlägga molnuppgifter och API-nycklar på varje drabbad maskin — i praktiken en gallring för att prioritera fortsatta attacker. Eftersom tillägg i Cursor ärver redskapets behörigheter räckte det med att installera uppdateringen för att ge angriparen tillgång till lokala filer, källkod och verktyg i samma rörelse.

Skadan begränsades delvis av angriparens egen inkompetens: fel i koden för Windows och macOS hindrade det permanenta SSH-spåret från att fungera utanför ovanliga omständigheter. Cursors personal samarbetade med molnleverantören som stod värd för bakåttunneln för att stänga av infekterade maskiner, tog bort tillägget och stängde hela marknadsplatsen tillfälligt för att byta nycklar och leta efter fler intrång.

Det som förblir oförklarat är tystnaden. Ars Technica rapporterar att Anthropic inte har gett någon offentlig notis om händelsen och att inget av företagen svarat på frågor om hur angreppet mot leveranskedjan gick till.

Lärdomen är inte att Anthropic skulle vara ovanligt slarvigt. Lärdomen är att vilken leverantörs distributionskedja som helst, hurmärkt den än är med säkerhet, är en enskild felkälla — och att AI-agenters tillgång till utvecklarnas behörigheter mångfaldigar skadan av varje sådant misslyckande. Bakdörren distribuerades via kontot hos ett företag vars hela kommersiella budskap är att dess modeller kan litas på.