Le chercheur en sécurité Kevin Beaumont, connu sous le pseudonyme doublepulsar, a publié une analyse décrivant la découverte d'une version modifiée de l'extension Claude Code pour Visual Studio Code, contenant un cheval de Troie d'accès distant (RAT). Cette version falsifiée aurait été mise en ligne sur la marketplace de Cursor, un éditeur de code dérivé de VS Code très utilisé par les développeurs travaillant avec des assistants IA.
Contrairement à ce que pourrait suggérer une lecture rapide, il ne s'agit pas d'un piratage direct des serveurs d'Anthropic, mais d'une attaque de la chaîne d'approvisionnement logicielle exploitant l'ouverture des places de marché d'extensions. N'importe quel acteur peut y publier un paquet sous un nom proche d'un produit légitime, ici Claude Code, en espérant tromper des développeurs peu attentifs à l'identité exacte de l'éditeur avant installation.
Selon le rapport, les développeurs ayant installé cette extension frauduleuse s'exposaient à l'exécution d'un code malveillant capable d'ouvrir un accès distant persistant à leur machine. Un tel accès peut permettre l'exfiltration de code source, de secrets d'environnement, de jetons d'authentification ou d'identifiants cloud, autant d'éléments sensibles pour des postes de développement professionnels.
Cet incident s'inscrit dans une tendance plus large d'attaques visant les outils de développement assistés par IA, après plusieurs cas similaires touchant des paquets npm ou des extensions imitant des assistants populaires. La popularité croissante de Claude Code et d'outils comparables en fait des cibles attractives pour des acteurs cherchant à piéger des développeurs disposant souvent d'accès privilégiés à des infrastructures critiques.
L'affaire rappelle l'importance d'une vérification rigoureuse de l'identité des éditeurs avant l'installation d'extensions, ainsi que la nécessité pour les plateformes de marketplace de renforcer leurs mécanismes de contrôle et de signature de code, face à un vecteur d'attaque encore insuffisamment surveillé.