Zwölf Stunden und fünftausend Rechner: Die Claude-Code-Erweiterung, die nicht von Anthropic war

Irgendwann am Donnerstag war ein Build der Claude-Code-Erweiterung im Marketplace von Cursor nicht mehr das, was er zu sein behauptete. Zwei Versionen — 2.1.312 und 2.1.313 — enthielten eine dauerhafte SSH-Hintertür. Der Eintrag blieb fast zwölf Stunden online. Cursors eigene Zahl der betroffenen Entwickler lautet „bis zu 5.000“.

Die Details stammen aus einer Reihe von Sicherheitsberichten, die innerhalb eines Tages zueinander erschienen: Step Security, Sophos, BleepingComputer, Microsofts Security-Blog und Ars Technica, das den Zeitverlauf am genauesten einordnete. Laut diesen Berichten tat die manipulierte Erweiterung, was eine Hintertür tun soll — sie öffnete einen Zugang, der einen Neustart übersteht, in diesem Fall über SSH. Die Zusammenfassung von The Verge merkt an, dass die Payload Hostnamen, Benutzernamen und IP-Adressen sammelte.

Das ist die Kurzfassung. Die längere Fassung handelt davon, was ein Erweiterungs-Marketplace ist und warum das immer passieren musste.

Was tatsächlich kompromittiert wurde

Nicht die Server von Anthropic. Nicht das Claude-Modell. Ein Vertriebskanal.

Claude Code wird als CLI und als Editor-Erweiterung ausgeliefert. Cursor betreibt einen eigenen Marketplace für Erweiterungen, so wie es VS Code tut, und der fragliche Eintrag war als offizielle Claude-Code-Erweiterung gebrandet. Für einen Entwickler, der in seinem Editor nach „claude code“ sucht, sah der Eintrag richtig aus: richtiger Name, richtiges Icon, richtige Beschreibung.

Was bei der Installation lief, war ein mit einem Trojaner versehener Build. Der in den Berichten beschriebene Mechanismus ist eine dauerhafte SSH-Hintertür — eine Modifikation, die es einem Angreifer später erlaubt, sich über SSH an der Maschine anzumelden, ohne dass der Nutzer etwas weiter tun muss. Für einen Entwickler-Laptop ist das nahe am schlimmstmöglichen Payload. Es ist kein Krypto-Miner, der in der Aktivitätsanzeige auftaucht. Es ist eine leise Tür.

Warum Entwickler das ideale Ziel sind

Eine kompromittierte Entwicklermaschine ist nicht nur ein Laptop. Sie ist ein Satz von Zugangsdaten mit ungewöhnlich großer Reichweite: Quellcode privater Repos, CI-Token, Cloud-Schlüssel, Datenbank-Verbindungszeichenketten in einer .env-Datei, die jemand im März aufräumen wollte, SSH-Schlüssel, die einander über einen ganzen Fuhrpark hinweg vertrauen.

Eine SSH-Hintertür passt besonders gut in diese Umgebung, weil Entwicklermaschinen ohnehin SSH laufen lassen, ohnehin authorized_keys-Dateien haben und ohnehin eingehende Verbindungen von anderen Maschinen erwarten. Ein neuer Schlüssel in dieser Datei wirkt nicht so anomal, wie es eine neue ausgehende Verbindung zu einer unbekannten IP täte.

Dazu das Timing: Donnerstag, während eines Arbeitstags, mitten im Launch-Zyklus vieler Teams. Das Fenster war nicht lang, aber zwölf Stunden reichen für ein paar tausend Installationen, wenn der Eintrag weit oben in einem Suchergebnis steht.

Der Teil, den niemand laut sagen will

Erweiterungs-Marketplaces sind keine App-Stores in dem Sinne, wie Verbraucher sie verstehen. Sie sind näher an Paketregistern. Es gibt einen Prüfprozess, aber der ist darauf ausgerichtet, offensichtlich bösartiges Verhalten zum Zeitpunkt der Einreichung zu erkennen, nicht darauf, fortlaufend zu prüfen, ob der Herausgeber noch der Herausgeber und die Binärdatei noch die Binärdatei ist.

Das ist kein spezifisches Cursor-Versagen. Es ist die strukturelle Schwäche jedes Ökosystems, das Dritte Code veröffentlichen lässt, der mit vollen lokalen Rechten läuft: npm, PyPI, VS-Code-Erweiterungen, Browser-Erweiterungen und jetzt die Marketplaces, die rund um KI-Coding-Werkzeuge entstanden sind. Die Angriffsfläche ist nicht das Modell. Es ist der Installer.

Was diesen Fall bemerkenswert machte, war das Branding. Eine Erweiterung, die nach einem bekannten KI-Produkt benannt ist, in einem Marketplace, in dem die meisten Nutzer genau dieses Produkt suchen — das ist eine Vertrauensabkürzung, gegen die man sich schwer wehren kann. Der Name erledigt das Social Engineering.

Wie die Reaktion aussah

Der Eintrag wurde entfernt, und Cursor veröffentlichte eine Nutzerzahl. Sicherheitsanbieter veröffentlichten Indikatoren. Anthropic war laut der Berichterstattung nicht die Partei, die den schlechten Build ausgeliefert hat — die Erweiterung im Marketplace von Cursor war ein separater Vertriebskanal von Anthropics eigenem.

Diese Unterscheidung zählt für die Schuldfrage, nicht für das Risiko. Aus Sicht eines Entwicklers ist „ich habe die Claude-Code-Erweiterung aus dem Marketplace in meinem Editor installiert“ eine einzige Handlung, und die Kette der Verantwortlichkeiten dahinter ist unsichtbar.

Was diese Woche zu tun ist

Wenn du Cursor benutzt oder einen beliebigen Editor mit Drittanbieter-Marketplace, ist diese Woche ein guter Zeitpunkt für drei langweilige Dinge.

Erstens: Liste deine installierten Erweiterungen auf und prüfe die Herausgeber. Nicht die Namen — die Herausgeber, und idealerweise die Installationsquelle. Alles, was du nicht erkennst, entferne. Alles, was Funktionen dupliziert, die du bereits aus erster Hand hast, entferne.

Zweitens: Sieh dir ~/.ssh/authorized_keys auf deinen Entwicklungsmaschinen an. Du suchst nach Schlüsseln, die du nicht kennst. Auf einem Laptop, der nur nach außen verbindet, ist diese Datei oft leer oder existiert gar nicht, was einen unerwarteten Eintrag leicht erkennbar macht.

Drittens: Rotiere die Zugangsdaten, die diese Maschine erreichen konnte. Das ist der teure Schritt, und es ist der, den Leute überspringen. Wenn du nicht alles rotieren kannst, rotiere das, was am meisten wehtun würde: Cloud-Anbieter-Schlüssel, Token für Paketregister und alles mit Schreibzugriff auf ein Produktions-Repo.

Für Teams kommt noch eines dazu: Erweiterungsversionen pinnen und aus einer geprüften Liste installieren, statt Einzelpersonen installieren zu lassen, was in der Suche gut rankt. Das ist eine Regel, die die meisten Teams für npm-Abhängigkeiten schon haben und fast keines für Editor-Plugins.

Warum es einen halben Tag lang niemand bemerkte

Zwölf Stunden sind in absoluten Zahlen nicht lang, aber im Leben eines Vertriebskanals sind sie sehr lang. In diesem Fenster war die Erweiterung installierbar, installierbar hieß ausführbar, und ausführbar hieß, dass jeder Entwickler, der während eines normalen Arbeitstags auf Installieren klickte, potenziell exponiert war.

Die Entdeckung kam, bemerkenswerterweise, von außen. Sicherheitsanbieter, die auf verdächtiges Verhalten achten, schlugen an; der Marketplace nicht. Das ist kein Seitenhieb speziell gegen Cursor — so funktionieren diese Ökosysteme. Register sind auf Verfügbarkeit optimiert, nicht auf fortlaufende Verhaltensüberwachung jedes Artefakts, das sie hosten. Die Ökonomie, jedes Update jeder Erweiterung in Echtzeit zu scannen, ist brutal, und der Anreiz dafür ist schwach, bis etwas kaputtgeht.

Die Wiederherstellung war schneller als die Entdeckung. Eintrag entfernt, Advisories veröffentlicht, Indikatoren geteilt. Aber die Reihenfolge zählt: erst die Exposition, dann die Erklärung. Für alle, die im Fenster installiert haben, kam die nützliche Information nach der Entscheidung, auf die es ankam.

Das unbequeme Fazit

Die Kategorie der KI-Coding-Werkzeuge hat zwei Jahre lang um Fähigkeiten konkurriert: Kontextfenster, Agenten-Schleifen, wie viele Dateien das Ding bearbeiten kann, ohne den Faden zu verlieren. Um die Integrität der Lieferkette hat sie fast gar nicht konkurriert, weil das Bedrohungsmodell bisher „das Modell schreibt schlechten Code“ war und nicht „die Erweiterung ist Malware“.

Fünftausend Maschinen und zwölf Stunden sind ein kleiner Vorfall nach den Maßstäben des letzten Jahrzehnts an Angriffen auf Software-Lieferketten. Es ist auch eine Vorschau. Der nächste wird ein MCP-Server sein oder ein Skill-Paket oder ein Plugin, das ein populärer Agent namentlich empfiehlt. Das Muster bleibt gleich: ein vertrauter Name, ein Vertriebskanal mit leichter Prüfung und ein Payload, der nicht laut sein muss.

Die Lehre ist nicht „benutz keine Erweiterungen“. Sie ist, dass „offiziell“ in einem Marketplace-Eintrag ungefähr nichts bedeutet und dass die einzige Verteidigung, die skaliert, darin besteht, Editor-Plugins mit demselben Misstrauen zu behandeln, das du einem beliebigen npm install aus einem Paket entgegenbringst, von dem du noch nie gehört hast.