El 29 de octubre pasó algo que te debería importar si usas Claude Code todos los días: alguien logró colar una versión falsa de la extensión oficial en el Cursor Marketplace, con un backdoor SSH escondido adentro. No fue un ataque a los servidores de Anthropic. Fue algo más incómodo: un hueco en la cadena de distribución del software que probablemente tienes abierto ahora mismo.
Qué pasó exactamente el 29 de octubre
Entre las 2:27 a.m. y la 1:35 p.m. (hora del Pacífico), dos versiones modificadas de la extensión oficial de Claude Code —la 2.1.312 y la 2.1.313, para Windows y macOS— estuvieron disponibles en el Cursor Marketplace haciéndose pasar por una actualización legítima. Llevaban un loader malicioso incrustado en el archivo extension.js. Cursor estimó que el incidente pudo afectar hasta 5,000 usuarios. Lo importante: esto nunca llegó a Open VSX ni al VS Code Marketplace oficial de Microsoft, solo al marketplace de Cursor.
Si usas Claude Code dentro de Cursor —una combinación bastante común entre quienes quieren el editor de Cursor con el agente de Anthropic— y actualizaste la extensión esa mañana, estuviste en la ventana de exposición directa. Si lo usas desde VS Code directamente, instalando desde el marketplace oficial de Microsoft, nunca estuviste en riesgo por este incidente en particular, aunque de todas formas vale la pena revisar tu versión y actualizar.
Cómo funcionaba el backdoor
El loader no pedía permiso para nada raro a simple vista: se activaba como parte del proceso normal de la extensión, igual que cualquier actualización legítima. Una vez adentro, plantaba una clave SSH del atacante en el equipo y enviaba datos del host a un servidor externo, dejando una puerta trasera que sobrevivía a un reinicio. No era un malware ruidoso ni fácil de notar mientras seguías programando con tu asistente de siempre: no bloqueaba el editor, no mostraba ventanas raras, no te pedía permisos adicionales por pantalla. Investigadores de varias firmas de seguridad —entre ellas Ox Security y StepSecurity— coincidieron en que la pieza estaba diseñada para pasar inadvertida precisamente porque llegaba disfrazada de actualización oficial de Anthropic, firmada con el mismo nombre de paquete que usas a diario.
Cursor retiró la versión comprometida una vez confirmado el incidente, pero el detalle que más debería hacerte pensar es otro: nada de esto pasó por un fallo de código de Claude Code en sí. Pasó porque un canal de distribución secundario —un marketplace que no es ni el de Microsoft ni el registro abierto de Open VSX— tuvo menos controles de verificación de los que todos asumíamos.
Señales de que pudiste estar expuesto:
- ▸Instalaste o actualizaste la extensión de Claude Code desde el marketplace de Cursor (no desde VS Code oficial ni Open VSX) el 29 o 30 de octubre.
- ▸La versión instalada en tu máquina aparece como 2.1.312 o 2.1.313.
- ▸Encuentras una clave SSH que no reconoces dentro de ~/.ssh/authorized_keys.
- ▸Notaste conexiones salientes inusuales justo después de actualizar la extensión esos días.
La respuesta de Anthropic, y por qué siguió moviéndose
Anthropic publicó la versión 2.1.314 tanto en Open VSX como en el VS Code Marketplace oficial casi de inmediato, con protecciones de escritura más estrictas: permissions.blockWritesOutsideWorkingDirectories bloquea que Write, Edit o NotebookEdit toquen rutas fuera de tu directorio de trabajo, en cualquier modo de permisos. El 3 de noviembre llegó la 2.1.317, con nuevos chequeos de seguridad, controles más estrictos sobre los hooks del Agent SDK y un reporte de uso y costo más detallado. No son parches cosméticos: tocan justo las piezas que un atacante querría manipular.
Lo que casi nadie dice en voz alta: el atacante no necesitó romper nada de Anthropic. Le bastó un marketplace secundario con menos controles de verificación. Si tu equipo instala extensiones desde donde sea más rápido, este incidente es la prueba de que esa comodidad tiene un precio.
No es un caso aislado en el ecosistema de IA para programar
2026 ha sido el año en que los asistentes de código con permisos amplios —leer tu repositorio, escribir archivos, ejecutar comandos, conectarse a servicios externos— se volvieron parte de la rutina diaria de millones de developers. Eso los convirtió también en un objetivo más atractivo para ataques a la cadena de suministro: extensiones falsas, paquetes de npm con nombres parecidos a los oficiales, actualizaciones que llegan por canales no verificados. El incidente de Claude Code en Cursor no es excepcional por ser grave, es excepcional por lo rápido que se contuvo: menos de 24 horas entre la detección y el parche con protecciones de escritura más estrictas.
Cómo protegerte si usas Claude Code
- ▸Instala y actualiza la extensión solo desde el VS Code Marketplace oficial o Open VSX, nunca desde un mirror de terceros.
- ▸Revisa ahora mismo qué versión tienes instalada; debería ser 2.1.314 o superior, idealmente la 2.1.317.
- ▸Audita ~/.ssh/authorized_keys en cualquier máquina donde hayas usado Cursor entre el 29 y el 30 de octubre.
- ▸Activa las actualizaciones automáticas y revisa qué permisos les das a los Agent SDK hooks; la 2.1.317 los hizo más estrictos por algo.
- ▸Si trabajas en equipo, documenta desde dónde instala cada quien sus extensiones. No es paranoia, es higiene básica.
Si lideras un equipo, súbele un peldaño más
Si además de programar con Claude Code eres responsable de la seguridad de un equipo, dos cosas valen la pena por encima de lo anterior. Primero, define una lista de marketplaces permitidos a nivel de organización en lugar de confiar en el criterio individual de cada developer un viernes a las 6 p.m. Segundo, trata las extensiones de IA igual que tratarías cualquier dependencia de tu stack: con versión fijada, con revisión antes de actualizar en máquinas con acceso a producción, y con un canal claro para reportar algo raro sin que se sienta como admitir un error.
Por qué esto importa más allá del parche
A medida que herramientas como Claude Code ganan permiso para escribir código, ejecutar comandos de shell y conectarse a más servicios, la seguridad de la cadena de suministro deja de ser un tema de los equipos de infraestructura y pasa a ser parte del trabajo diario de cualquiera que programa con un agente. Entender el modelo de permisos de Claude Code —qué puede tocar, desde dónde lo instalas, cómo se actualiza— es tan parte del oficio como escribir un buen prompt. Los equipos que se toman esto en serio no son los más lentos para adoptar IA, son los que siguen usándola sin sobresaltos un año después, cuando el resto ya tuvo que parar a limpiar un desastre.
En el curso Claude Code For Developer vemos justo esto: cómo sacarle el máximo partido a Claude Code en proyectos reales sin perder de vista su modelo de permisos. Y si tu meta es diseñar y desplegar agentes de forma profesional, la ruta AI Agentic Engineer cubre la seguridad y el harness engineering como parte del currículo, no como un anexo.
Si quieres discutir casos como este con otros que programan con agentes a diario, cada semana hay un taller en vivo sobre temas así en la Comunidad AI Builders.
Para seguir aprendiendo
Si quieres dominar Claude Code de punta a punta, incluyendo su modelo de seguridad, revisa el curso completo, la ruta AI Agentic Engineer o explora el resto del catálogo de cursos de DataPath.
