Avete presente quella sensazione di onnipotenza che provate quando fate il primo ‘git push’ di una feature che funziona al primo colpo? Ecco, dimenticatela, perché il mondo della sicurezza informatica ha appena deciso di ricordarci che la fiducia è una variabile che tende rapidamente allo zero.
Siamo nel pieno dell’hype per l’AI e tutti noi stiamo cercando di integrare ogni possibile estensione, plugin o tool magico nel nostro workflow. L’ultima vittima di questo entusiasmo cieco è stata l’estensione di Anthropic per Cursor. Per dodici lunghi minuti (o meglio, ore, che per un hacker sono un’eternità), un attaccante ha avuto accesso all’account verificato di Anthropic su Cursor. Sì, avete capito bene: un account che doveva rappresentare l’apice dell’affidabilità e della sicurezza è diventato il cavallo di Troia perfetto per iniettare codice malevolo direttamente nelle macchine degli sviluppatori.
Il punto non è solo che qualcuno sia riuscito a violare un account. Il vero problema è che l’account era ‘verificato’. In un mondo dove siamo tutti ossessionati dai badge blu e dalle certificazioni che promettono di proteggerci dal caos, questo incidente ci sbatte in faccia una realtà scomoda: la verifica è solo un’eticheletta cosmetica. Se il processo di autenticazione fallisce o viene bypassato, quel badge verde non serve nemmeno per pulirsi gli occhiali dopo un debugging intenso.
Per chi non fosse aggiornato, Cursor è quel fork di VS Code che sta diventando lo standard per chi vuole scrivere codice con l’aiuto dell’AI senza troppi fronzoli. L’estensione in questione prometteva di potenziare le capacità di Anthropic direttamente nel tuo editor. Immaginate di aprire il vostro IDE preferito, caricare un’estensione che ritenete sicura e, senza che possiate accorgervene, lasciare una porta aperta per chiunque voglia far visita al vostro file system.
Al momento non sappiamo ancora come gli attaccanti siano riusciti a porsi sotto il radar e a prendere il controllo dell’account. Forse una configurazione errata, forse un leak di credenziali, o forse solo la solita, banale negligenza che capita quando si corre troppo veloci verso la prossima release.
Non è una notizia che cambierà le leggi in Italia o che impatterà direttamente sulla vostra capacità di compilare un kernel Linux, ma è un monito per tutti noi. Quando usate strumenti che promettono di automatizzare la vostra vita, ricordatevi che ogni nuova ‘comodità’ è una nuova superficie di attacco. La prossima volta che vedete un badge di verifica, non abbiate paura di fare un check extra. La fiducia è un lusso che, in questo settore, non possiamo permetterci di sprecare.
Source: Anthropic VS code extension on Cursor backdoored for nearly 12 hours