Extensión de vs code de Anthropic comprometida en un ataque de la cadena de suministro

Una extensión oficial de VS Code para el modelo Claude de Anthropic fue comprometida en un ataque de la cadena de suministro, lo que podría afectar a hasta 5.000 desarrolladores. La versión maliciosa, 2.1.313, se distribuyó a través de la cuenta oficial de Anthropic en Cursor, un proveedor de herramientas de desarrollo asistidas por IA. El investigador independiente Kevin Beaumont y Luke Roberts, CTO y cofundador de Phorian, confirmaron que la versión maliciosa se había publicado en la cuenta oficial de Anthropic, reemplazando efectivamente la versión 2.1.312. Ambas versiones estaban disponibles en el mercado de Cursor, con la versión 2.1.314 publicada varias horas después de la 2.1.313. Roberts explicó que el ataque implicaba obtener acceso al canal de distribución oficial, lo que permitió que la extensión maliciosa se instalara automáticamente en los sistemas de los usuarios. Ni Cursor ni Anthropic han proporcionado detalles sobre cómo los atacantes obtuvieron el control de la cuenta. Phorian proporciona detalles adicionales sobre el incidente, destacando la gravedad de la brecha y el posible impacto en los desarrolladores. El ataque pone de manifiesto las vulnerabilidades en la seguridad de la cadena de suministro, enfatizando la necesidad de una protección de cuenta y de la concienciación del usuario.