Popüler yapay zekâ kodlama editörü Cursor'ın uzantı mağazasında, Anthropic'in resmî Claude Code uzantısının zehirlenmiş 2.1.313 sürümü yaklaşık 11 saat boyunca yayında kaldı ve en fazla 5.000 kullanıcıya indi. Uzantı, makine bilgilerini toplayıp saldırgana raporluyor ve kalıcı bir SSH arka kapısı kurmaya çalışıyordu; Cursor mağazayı tümüyle kapatıp yeniden inşa etti.
Yapay zekâ destekli kodlama araçlarının tedarik zinciri güvenliği bu kez editörün kendi mağazasından vuruldu. SpaceX’e bağlı yapay zekâ kodlama editörü Cursor, resmî güvenlik bülteniyle Anthropic’in Claude Code uzantısının ‘kötücül biçimde değiştirilmiş’ 2.1.313 sürümünün, kendi VS Code uzantı mağazasında yayına girdiğini duyurdu. Sahte sürüm, 29 Ekim’de Türkiye saatiyle yaklaşık 12.27’den 23.35’e kadar yaklaşık 11 saat indirilebilir durumda kaldı ve en fazla 5.000 kullanıcıya ulaştı. Cursor’ın altını çizdiği gibi bu sürüm Anthropic tarafından geliştirilmedi — ancak mağazada meşru yayıncı kimliği altında dağıtıldı.
Zararlı yazılımın ne yaptığı bülten ve bağımsız analizle netleşti. macOS güvenlik firması Phorion’a göre, uzantının ana JavaScript paketinin başına normal kodun önüne eklenmiş bir yük yerleştirilmiş; bu yük, kullanıcının uzantıyla hiç etkileşim kurması gerekmeden, uzantının normal başlatma süreci bile çalışmadan devreye giriyor. Çalışır çalışmaz makine adını, kullanıcı adını, işletim sistemini, ev dizini yolunu, çalışma dizinlerini, Git e-posta adresini ve genel IP’yi topluyor; ayrıca anahtar, token, parola veya AWS-GCP kimliğine benzeyen en fazla 40 ortam değişkeninin adlarını saldırganın sunucusuna raporluyor. Değerler yerelde kalıyor — ama bu liste, saldırgana hangi makinelerde bulut kimlik bilgileri olduğunu gösteren bir envanter: hangi makinenin önce sömürüleceğine dair bir yol haritası.
Asıl hedef ise kalıcı erişim: Zararlı kod, saldırganın kontrolündeki bir SSH anahtarını kullanıcının authorized_keys dosyasına eklemeye, yerel SSH servisini açmaya ve saldırganın sunucusuna geri dönen bir SSH tüneli kurmaya çalışıyor. Tünel editör kapatıldıktan sonra da çalışmaya devam ediyor ve yaklaşık 60 saniyede bir yeniden bağlanmayı deniyor; yeniden başlatmalara karşı macOS’ta Apple tarzı isimli bir başlangıç dosyası, Windows’ta ‘SysMon’ adlı zamanlanmış görev (SYSTEM olarak çalışmayı deneyip olmazsa Başlangıç klasörüne düşüyor), Linux’ta cron girdisiyle kalıcılık sağlıyor. Makine bilgileri ve arka kapı durumu, 8099 numaralı portta HTTP POST ile saldırgana bildiriliyor.
Sınırlayıcı iki faktör var. Cursor’a göre SSH servisini açmak yönetici hakları gerektiriyor ve kötücül uzantının bu hakkı çoğu macOS ve Windows makinesinde yoktur — bu adım çoğu makinede başarısız olur. Phorion da macOS’ta hatalı bir kontrolün süreci kilitlediğini buldu; ancak uzmanlar bunu savunma saymıyor: makinede uzaktan giriş zaten açıksa ya da kullanıcı daha sonra açarsa arka kapı hazır bekliyor. Üstelik uzantıyı kaldırmak yetmiyor — zararlı kod, bağımsız çalışan kalıcılık betikleri bırakıyor. Cursor, etkilenen kullanıcılara makineyi izole etmelerini, kimlik bilgilerini güvenilir bir sistemden döndürmelerini ve SSH kayıtlarında ‘svc-telemetry’ anahtarını aramalarını öneriyor.
Şirketin müdahalesi geniş kapsamlıydı: Zararlı sürüm tespit edilir edilmez kaldırıldı, ihtiyat için VS Code mağazasının tamamı kapatıldı, tüm erişim denetlendi ve başka uzantının değiştirilmediği teyit edildi, anahtarlar döndürülüp mağaza yeniden inşa edilerek yeniden açıldı. Saldırganın sunucusunu barındıran bulut sağlayıcısıyla çalışılarak komuta sunucusu da çevrimdışı alındı — geri tüneller ve bilgilendirme paketleri artık işlevsiz. Anthropic temiz 2.1.314 sürümünü yayımladı; Cursor kullanıcılarına güncelleme çağrısı yapıldı.
Olayın zorlayıcı tarafı, saldırının mağazadaki resmî yayıncı kimliği altında gelmesi: Manifold Security araştırma başkanı Ax Sharma’nın Help Net Security’ye verdiği değerlendirmeyle ‘kontrol edilecek bir yayıncı adı sahtekârlığı yok — yayıncı gerçek. İşe yarayan şey davranışı izlemek: bir kodlama uzantısının SSH anahtarı yerleştirmesi saniyeler içinde yakalanmalı.’ Ayrıca Sharma, giderek artan biçimde bu paketleri kuranların insanlar değil ajanlar ve otomatik güncellemeler olduğuna dikkat çekiyor. Bu hafta hem Pentagon’daki kişisel ajan skandalı hem de gömülü tarayıcı açıklıklarıyla sarsılan yapay zekâ kodlama ekosisteminde üçüncü halka: güvenilen mağazanın kendisi. Yayıncı kimliğine güvenmenin artık yeterli olmadığı bir tedarik zincirinde, davranış tabanlı izleme savunmanın son halkası olmaktan çıkıp ilk halkası hâline geliyor.