Extension Claude Code piégée dans la boutique de Cursor : comment vérifier ton ordinateur

En une phrase : Si tu as installé ou mis à jour l’extension Claude Code depuis la boutique de Cursor sur Mac ou Windows le 29 octobre 2026, vérifie la présence d’une clé SSH nommée « svc-telemetry » : si elle est là, ta machine est touchée et il faut la nettoyer, voire la réinstaller.

Claude Code est l’assistant de programmation d’Anthropic : un agent IA qui lit et modifie du code à ta place, disponible notamment comme extension pour les éditeurs de code. Cursor, un éditeur de code dopé à l’IA, propose sa propre boutique d’extensions. C’est dans cette boutique, et seulement là selon les éléments publiés au 31 octobre 2026, qu’une copie trafiquée de l’extension a circulé. Pour les autres arnaques et attaques qui visent les utilisateurs d’IA, voir notre rubrique Arnaques et deepfakes.

Ce qui s’est passé

Dans son avis de sécurité du 29 octobre 2026, Cursor indique qu’une version modifiée de l’extension « Anthropic.claude-code », numérotée 2.1.312 et 2.1.313, a été proposée dans sa boutique pour Windows et macOS entre environ 2 h 27 et 13 h 35, heure du Pacifique, soit de 10 h 27 à 21 h 35 à Paris. Cursor précise que ces versions n’ont pas été développées par Anthropic et que les autres extensions de sa boutique ne sont pas concernées.

Selon Next, qui cite Cursor, environ 5 000 personnes ont installé la version piégée et sont contactées par l’éditeur. Cursor dit avoir retiré la version dès sa détection, fermé toute sa boutique par précaution, vérifié qu’aucune autre extension n’avait été modifiée, renouvelé ses clés, reconstruit la boutique puis l’avoir remise en ligne. Le serveur de l’attaquant a été mis hors ligne avec son hébergeur.

L’analyse de Microsoft Threat Intelligence, publiée le 30 octobre 2026, confirme que les paquets malveillants n’ont jamais été publiés ni distribués sur le Visual Studio Marketplace de Microsoft ni sur npm. Microsoft ajoute qu’Anthropic lui a confirmé que ses systèmes n’avaient pas été compromis et qu’il n’avait pas développé ce paquet. À cette date, écrit Microsoft, tout indique que l’incident se limite à la boutique de Cursor.

Ce que faisait le code malveillant

Le code caché s’exécute dès le chargement de l’extension, sans action de ta part, avant même la première conversation avec Claude. Selon Cursor, il :

• relève des informations sur la machine : nom de l’ordinateur, nom d’utilisateur, système, dossier personnel, dossiers de travail, adresse électronique configurée dans Git, adresse IP publique et noms des variables d’environnement ;
• ajoute une clé SSH contrôlée par l’attaquant, étiquetée « svc-telemetry », tente d’activer le service SSH local et d’ouvrir un tunnel inversé vers le serveur de l’attaquant ;
• installe des scripts de relance au démarrage (un LaunchAgent sur macOS, une tâche planifiée ou un script de démarrage sur Windows) qui retentent la connexion environ toutes les minutes.

Microsoft précise que le code collecte les noms des variables d’environnement qui évoquent des secrets (contenant notamment KEY, TOKEN ou PASS), jusqu’à quarante, mais pas leurs valeurs. Le risque vient surtout de ce qu’un attaquant pourrait faire ensuite avec un accès SSH.

Bonne nouvelle relative : activer le service SSH exige des droits d’administrateur que l’extension n’a pas sur la plupart des Mac et PC Windows, et le code contient des erreurs. Sur ces machines, l’attaquant n’a pas pu se connecter par le tunnel, selon Cursor. Mais la clé, les scripts de relance et l’envoi des informations ont pu, eux, aboutir.

Ce que ça change pour toi : vérifier et nettoyer

Tu es concerné si tu as installé ou mis à jour Claude Code depuis la boutique de Cursor, sur macOS ou Windows, pendant la fenêtre du 29 octobre 2026, y compris par une mise à jour automatique. L’extension officielle installée depuis le Visual Studio Marketplace de Microsoft n’est pas en cause, selon Microsoft.

Pour une entreprise, Microsoft recommande aussi de restreindre les extensions aux éditeurs approuvés et d’imposer un délai avant l’installation des nouvelles versions publiées.

Ce qu’on ne sait pas encore

Au 31 octobre 2026, ni Cursor ni Anthropic n’ont expliqué comment la version piégée est arrivée dans la boutique. Plusieurs sociétés de sécurité citées par Next ont d’abord évoqué une compromission du registre Open VSX, dont la boutique de Cursor se synchronise ; ces hypothèses divergent, et les démentis de Microsoft et d’Anthropic pointent vers la seule boutique de Cursor.

Ars Technica rapporte, d’après le chercheur Kevin Beaumont et la société Phorion, que la version piégée a été publiée via le compte officiel d’Anthropic sur la boutique de Cursor, sans que l’on sache comment l’attaquant y a eu accès. Le même article cite Phorion : les extensions se mettent à jour automatiquement par défaut dans Cursor, un réglage que tu peux modifier. Raison de plus pour vérifier ta machine même si tu n’as rien installé ce jour-là.

Autre zone grise : l’avis de Cursor ne donne des vérifications que pour macOS et Windows, alors que les analyses techniques décrivent aussi un mécanisme de relance pour Linux, relève Next.

L’incident rappelle qu’un assistant de code a accès à tes fichiers et à ton terminal : une extension piégée hérite de ces accès. Notre explicatif sur les agents IA détaille ces risques, comme notre point sur les navigateurs à agent IA.