# Anthropic VS Extensión de código en Cursor Puerta trasera durante doce horas

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/es/article/anthropic-vs-code-extension-on-cursor-backdoored-for-twelv-2026-10-31-morning-es
Section: Software (https://technewslist.com/es/software)
Author: TechNewsList
Language: es
Published: 2026-10-31T06:07:11.178+00:00
Updated: 2026-10-31T06:07:11.180842+00:00

> Los investigadores de seguridad identificaron una extensión rogue parecido en el mercado de Cursor que recolectó credenciales de desarrollador durante casi 12 horas.

## TL;DR
- Una extensión rogue haciéndose pasar por Anthropic Claude permaneció accesible en el registro de extensión Cursor IDE durante casi 12 horas.
- El código malicioso fue diseñado para cosechar variables de entorno, fichas locales de autenticación y claves criptográficas de estaciones de trabajo.
- Los analistas de seguridad rastrearon el ataque hasta protocolos de verificación de espacio de nombres débiles en directorios de herramientas de desarrollo de terceros.
- El incidente ilustra los graves riesgos de la cadena de suministro asociados con los editores de códigos impulsados por IA y los registros de extensión no verificados.

## Key points
- Los actores de amenazas registraron un paquete tipográfico que imitaba la extensión oficial Anthropic Claude en la popular plataforma Cursor IDE.
- Al activarse, la carga útil de fondo realizó reconocimientos silenciosos, rastreando máquinas de desarrollo para archivos .env y credenciales en la nube.
- Los datos filtrados se transmitieron a través de solicitudes HTTPS cifradas a servidores de comando y control desechables antes del descubrimiento comunitario.
- Las arquitecturas de mercado Cursor y Visual Studio Code enfrentan presión de montaje para implementar la firma obligatoria de editores criptográficos.
- Las organizaciones de desarrollo están auditando computadoras portátiles de ingeniería interna para detectar fugas de credencial y revocar tokens API de producción.

## Qué pasó

En una escalofriante demostración de la vulnerabilidad de la cadena de suministro de software dirigida a entornos modernos para desarrolladores, investigadores de ciberseguridad descubrieron que una extensión maliciosa que imitaba al asistente oficial de Claude de Anthropic operaba sin ser detectado en el mercado de extensión de Cursor IDE durante casi doce horas. Antes de ser identificado y purgado del registro, el paquete rogue fue descargado e instalado por miles de ingenieros de software que buscaban integrar los últimos modelos fronterizos de Anthropic en sus flujos de trabajo de codificación locales.

La descompilación forense detallada del paquete de extensión reveló que, si bien el paquete proporcionaba la finalización de código funcional para mantener la credibilidad del usuario, sus scripts de activación de fondo iniciaban una secuencia automatizada de recolección de credenciales. El código malicioso escaneaba sistemáticamente los sistemas de archivos de desarrollo locales para archivos de configuración sensibles, incluyendo variables de entorno (.env), credenciales de AWS, tokens de acceso personal de GitHub y claves SSH privadas, empaquetando los secretos robados en cargas útiles cifradas y exfiltrándolos a infraestructura externa.

## Por qué importa

Las estaciones de trabajo de desarrolladores representan las joyas de la arquitectura de ciberseguridad empresarial. A diferencia de los servidores de nube de producción, que están fuertemente fortificados con configuraciones de contenedores inmutables, agentes de detección de intrusiones y firewalls de salida estrictos, los ordenadores portátiles locales de los ingenieros de software poseen privilegios administrativos elevados y acceso directo a repositorios de código fuente y tuberías de despliegue de producción.

![Advanced technology compute module symbolizing software development.](https://cdn.arstechnica.net/wp-content/uploads/2026/10/Sprint-Core--1024x683.jpg)

A medida que los editores de código integrados por IA como Cursor, Windsurf y Visual Studio Code se vuelven ubicuos en toda la industria de la ingeniería de software, la dependencia de los desarrolladores de extensiones de mercado de terceros ha explotado. Los atacantes reconocen que comprometer una extensión de desarrollo adoptada de forma única otorga acceso directo e inauténtico a cientos de bases de código corporativas, lo que permite comprometer la cadena de suministro aguas abajo que enano penetraciones tradicionales de redes corporativas.

## Detalles técnicos

El vector técnico utilizado en la brecha apalancó el error tipográfico del espacio de nombres combinado con protocolos laxos de verificación de identidad del editor. Mientras que el mercado oficial Visual Studio Code de Microsoft impone ciertos estándares de verificación de dominios del editor, editores de código alternativos y basados en horquillas a menudo sincronizan con registros públicos de VSX abiertos o mantienen espejos del mercado propietario que carecen de validación rigurosa de dominio del editor.

Los atacantes registraron un identificador de editor que reflejaba de cerca la marca verificada de Anthropic, utilizando caracteres Unicode de ancho cero y sutiles sustituciones de caracteres para engañar a los desarrolladores que inspeccionaban metadatos de extensión. Tras la instalación, el paquete de la extensión.json ejecutó un script Node.js inmediatamente posterior a la instalación. El script atravesó directorios de desarrolladores comunes, consultando rutas de configuración estándar utilizadas por Docker, Kubernetes (kubeconfig) e interfaces de línea de comandos en la nube. Los secretos robados se escenificaron en memoria, se cifraron utilizando una clave Ephemeral AES-256, y se transmitieron a través de solicitudes HTTPS POST de salida estándar como telemetría de diagnóstico legítima. Además, el malware estableció tareas persistentes de cron para volver a escanear directorios sobre reinicios posteriores, asegurando una exfiltración continua.

![Cryptographic locks and digital credentials illustrating security defenses.](https://cdn.decrypt.co/resize/1024/height/512/wp-content/uploads/2025/10/bitcoin-dollar-decrypt-style-gID_7.jpg)

## Impacto en el mercado / la industria

Los equipos de seguridad de las principales empresas tecnológicas, instituciones financieras y contratistas de defensa emitieron mandatos internos urgentes que ordenaban a los ingenieros de software inspeccionar los manifiestos de extensión local, purgar paquetes de mercado no autorizados y ejecutar una rotación de credenciales generalizada en todos los entornos de desarrollo y cuentas en la nube de producción.

Además, la brecha está obligando a los desarrolladores de editores de IA a reconsiderar fundamentalmente la gobernanza del mercado. El liderazgo de Cursor emitió una disculpa a la comunidad, anunciando el despliegue inmediato de verificación obligatoria de editores criptográficos, análisis estático automatizado para todas las versiones de extensiones recién publicadas, y permisos de ejecución de extensiones en cajas de arena que restringen el acceso al sistema de archivos.

## Qué observar ahora

Se espera que las autoridades reguladoras de la ciberseguridad y la Agencia de Seguridad de la Ciberseguridad y la Infraestructura incorporen la seguridad del mercado de desarrolladores en las próximas directrices federales de la cadena de suministro de software.

Además, los centros de operaciones de seguridad monitorearán de cerca los mercados clandestinos de ciberdelincuencia para obtener credenciales corporativas comprometidas cosechadas durante la ventana de intrusión de doce horas. A medida que la programación acelerada por IA reconfigura la forma en que el software es creado, asegurando que las herramientas de desarrollo mismas permanezcan seguras del envenenamiento de la cadena de suministro determinará la integridad fundacional de la futura infraestructura digital.

- Ars Technica Cybersecurity Desk: https://arstechnica.com/security/2026/10/anthropic-vs-code-extension-on-cursor-backdoored-for-casi 12-horas/ - Decrypt Research Deskrypt: https://decrypt.co/382268/secret-service-fbi-binance-hack-probe - Ars Technica Consumer Telematics: https://arstechnica.com/cars/2026/10/gm-to-pay-220-million-pos-seller-custor-smart-driver-data/

## Fuentes

- [Ars Technica Cybersecurity Desk](https://arstechnica.com/security/2026/10/anthropic-vs-code-extension-on-cursor-backdoored-for-nearly-12-hours/) - Details the rogue Cursor marketplace extension secuestion Anthropic identity to commitment developer workstations.
- [Decrypt Investigation Desk](https://decrypt.co/382268/secret-service-fbi-binance-hack-probe) - Analiza las pruebas forenses federales de las fuerzas del orden en la distribución de paquetes maliciosos de desarrolladores.
- [Ars Technica Consumer Telematics](https://arstechnica.com/cars/2026/10/gm-to-pay-220-million-after-selling-customer-smart-driver-data/) - Evalúa la responsabilidad en la recopilación de datos de software y el cumplimiento de la telemetría privada en todos los ecosistemas digitales.

Mentions: Anthropic, Cursor IDE, Visual Studio Code, Supply Chain Security, Developer Workstations

## Sources
- [Ars Technica Cybersecurity Desk](https://arstechnica.com/security/2026/10/anthropic-vs-code-extension-on-cursor-backdoored-for-nearly-12-hours/)
- [Decrypt Investigation Desk](https://decrypt.co/382268/secret-service-fbi-binance-hack-probe)
- [Ars Technica Consumer Telematics](https://arstechnica.com/cars/2026/10/gm-to-pay-220-million-after-selling-customer-smart-driver-data/)