L'estensione ufficiale di Anthropic per Claude Code, distribuita attraverso Cursor Marketplace, è stata compromessa e utilizzata per installare una backdoor SSH persistente sugli host infetti. Lo hanno reso noto alcuni ricercatori di sicurezza, secondo quanto riportato da due fonti indipendenti che hanno analizzato la vicenda. Non si tratta di una falla nel modello, né di una vulnerabilità del runtime: il problema nasce nel canale di distribuzione del tooling che molti sviluppatori installano per usare Claude Code come harness locale per LLM dentro VS Code o editor compatibili.

Il punto delicato è la persistenza. Una backdoor SSH che sopravvive ai riavvii non è un semplice malware usa e getta: consente all'attaccante di mantenere un accesso remoto stabile. Su una macchina di sviluppo, questo tipo di accesso può incrociare repository, credenziali, variabili d'ambiente, file di configurazione e, in alcuni contesti, dati usati per il fine-tuning o l'inference locale. Anche senza entrare nei dettagli tecnici non confermati, il valore di un punto d'appoggio di questo tipo sta nella continuità: chi lo controlla può osservare nel tempo l'ambiente, scegliere quando agire e spostarsi lateralmente.

Il perimetro si sposta dal modello al tooling

Per chi segue l'evoluzione degli stack locali, la vicenda segnala un cambio di baricentro. L'attenzione sul modello on-premise tende a concentrarsi su VRAM, quantization e prestazioni, ma il vettore qui non è il peso del modello né la scheda video: è la supply chain del software. Le estensioni e i plugin sono componenti con privilegi elevati, eseguiti nello stesso contesto dell'editor, e l'etichetta "ufficiale" riduce le difese psicologiche anche quando l'account del publisher o la pipeline di build possono essere compromessi. In altre parole, il perimetro non si restringe spostando il LLM in locale se poi si installa tooling non verificato da marketplace di terze parti.

L'episodio introduce un costo aggiuntivo per chi valuta deployment on-premise. Non basta isolare i dati dal cloud; bisogna anche verificare l'integrità dei pacchetti, la firma delle release e la provenienza degli aggiornamenti. Cursor Marketplace è un canale legittimo, ma la compromissione descritta mostra che un repository ufficiale può diventare un punto di distribuzione di codice malevolo quando il controllo sull'identità o sul processo di pubblicazione salta. In un ambiente dove Claude Code o strumenti analoghi vengono eseguiti localmente, la macchina dello sviluppatore diventa una superficie d'attacco di primo livello, spesso con accesso a sistemi interni e a dati che in un contesto cloud sarebbero protetti da policy centralizzate.

C'è un'asimmetria da non sottovalutare. Le aziende che adottano stack locali per ragioni di sovranità o di TCO ottengono un controllo più diretto su dati e modelli, ma distribuiscono la responsabilità della sicurezza su molti endpoint. L'attaccante non deve necessariamente puntare al server GPU: gli basta intercettare il tooling che gli sviluppatori usano ogni giorno. La compromissione dell'estensione Claude Code è un esempio concreto di come l'infrastruttura di sviluppo, non il modello addestrato, possa diventare il punto di ingresso. È un cambio di prospettiva che le policy di sicurezza faranno bene a registrare, soprattutto quando i flussi di lavoro mescolano componenti ufficiali, marketplace di terze parti e ambienti locali.