Cursor-Hack erklärt

Warum ein einziges KI-Update Tausende Entwickler gefährden konnte

Stell dir vor: Du öffnest deinen Code-Editor, siehst ein Update für eine offizielle Claude-Code-Erweiterung, klickst auf „Installieren“ und gibst damit einem Angreifer den Schlüssel zu deinem Entwicklerrechner. Genau das ist am 29. Oktober 2026 im Cursor-Marketplace passiert. Eine manipulierte Version der Claude-Code-Erweiterung enthielt Schadcode, der eine dauerhafte SSH-Backdoor auf Windows- und macOS-Systemen einrichten sollte. Bis zu 5.000 Entwickler könnten betroffen sein.

Der Fall ist deshalb so brisant, weil er nicht irgendein obskures Plugin trifft, sondern ein zentrales Werkzeug der modernen KI-Entwicklung. Claude Code ist für viele Entwickler längst Teil des täglichen Workflows: Code verstehen, Fehler analysieren, Refactorings durchführen, Tests erstellen. Wenn genau diese Werkzeugkette kompromittiert wird, ist das kein Randfall der KI-Sicherheit, sondern ein Warnsignal für die gesamte Branche.

Was genau ist passiert?

Betroffen war die Erweiterung Anthropic.claude-code im Cursor VS Code Extension Marketplace. Cursor ist ein auf Visual Studio Code basierender KI-Code-Editor, der von Millionen Entwicklern genutzt wird. Die manipulierten Versionen waren 2.1.312 und 2.1.313 für Windows und macOS.

Die kritische Version 2.1.313 war laut Cursor etwa elf Stunden lang verfügbar: von etwa 2:27 Uhr bis 13:35 Uhr Pacific Time am 29. Oktober 2026. In diesem Zeitfenster konnten Nutzer die infizierte Erweiterung herunterladen und installieren. Cursor geht von bis zu 5.000 betroffenen Entwicklern aus.

Wichtig zur Einordnung: Es handelte sich nicht um einen Angriff auf das Claude-Modell selbst und nach derzeitigen Erkenntnissen auch nicht auf Anthropics interne Systeme. Anthropic erklärte, dass ein Angreifer Zugriff auf den Cursor-Marketplace genutzt habe, um die manipulierte Erweiterung zu veröffentlichen.

So funktionierte der Angriff

Die Schadsoftware war kein simpler Werbe-Tracker oder Datenleak. Sicherheitsforscher beschreiben einen mehrstufigen Angriff, der gezielt auf dauerhaften Zugriff ausgelegt war.

Die infizierte Erweiterung sammelte zunächst Systeminformationen des Entwicklerrechners.
Anschließend fügte sie einen SSH-Schlüssel mit dem Namen svc-telemetry in die Datei authorized_keys ein. Dadurch konnte der Angreifer sich potenziell per SSH anmelden.
Der Schadcode richtete mehrere Persistenzmechanismen ein, darunter geplante Tasks unter Windows sowie Crontab- und LaunchAgent-Mechanismen unter macOS. Das Ziel: Der Zugriff sollte auch nach einem Neustart bestehen bleiben.
Zusätzlich baute die Malware einen Reverse-Tunnel zu der IP-Adresse 134.209.82[.]225 über Port 8099 auf. Damit konnte der Angreifer den Rechner aus der Ferne erreichen, selbst wenn dieser hinter einer Firewall saß.

Das ist keine „mal eben“-Attacke. Es ist ein klassischer Supply-Chain-Angriff mit dem Ziel, hochwertige Entwicklersysteme zu kompromittieren – Rechner, auf denen häufig Zugangsdaten, API-Keys, Cloud-Credentials, private Repositories und produktionsnahe Konfigurationen liegen.

Warum Entwickler besonders attraktive Ziele sind

Entwicklerrechner sind für Angreifer extrem wertvoll. Sie enthalten oft:

SSH-Keys für Server, Git-Plattformen und Cloud-Dienste
API-Tokens für OpenAI, Anthropic, AWS, Google Cloud oder Azure
Zugangsdaten für interne Systeme und Datenbanken
Zugriff auf Quellcode, Deployment-Pipelines und Produktionsumgebungen

Ein kompromittierter Entwicklerrechner ist deshalb oft nur der erste Schritt. Über gestohlene Credentials kann ein Angreifer in Repositories eindringen, CI/CD-Pipelines manipulieren, Schadcode in Software einschleusen oder Cloud-Ressourcen missbrauchen. Genau deshalb ist ein Angriff auf eine beliebte Entwickler-Erweiterung deutlich schwerer zu bewerten als ein gewöhnlicher Malware-Fund.

Die Reaktion von Cursor und Anthropic

Cursor reagierte schnell: Die schädliche Version wurde entfernt, der Marketplace vorübergehend heruntergefahren und anschließend mit einer bereinigten Version wieder online gebracht. Die sichere Version 2.1.314 ersetzte die kompromittierten Builds.

Anthropic betonte, dass die eigenen Systeme und Mitarbeitergeräte nicht kompromittiert worden seien. Stattdessen habe ein Angreifer den Weg über den Cursor-Marketplace genutzt. Das entlastet Anthropic technisch, ändert aber nichts an der zentralen Lektion: Die Vertrauenskette endet nicht beim KI-Anbieter. Sie reicht bis zum Marketplace, zum Publisher, zur Paketverteilung und zur lokalen Installation.

„Millionen betroffen“? Nicht ganz

Die Schlagzeile „Millionenfach installierte Erweiterung kompromittiert“ ist verständlich, kann aber in die Irre führen. Millionen Menschen nutzen möglicherweise Cursor oder Claude-Code-Werkzeuge. Die Zahl der Personen, die die schädliche Version installiert haben könnten, liegt laut Cursor jedoch bei bis zu 5.000.

Genau diese Differenz ist für seriöse KI-Berichterstattung entscheidend. Panik hilft niemandem. Klarheit schon. Und die lautet: Das Risiko war real, aber begrenzt auf Nutzer, die im kritischen Zeitfenster die manipulierte Version installiert haben.

Was Betroffene jetzt prüfen sollten

Wer Cursor nutzt oder in dem Zeitraum Claude-Code-Erweiterungen installiert hat, sollte nicht abwarten. Die wichtigsten Schritte sind:

Version prüfen: War anthropic.claude-code in Version 2.1.312 oder 2.1.313 installiert?
SSH-Keys kontrollieren: ~/.ssh/authorized_keys nach dem Eintrag svc-telemetry und unbekannten Schlüsseln durchsuchen.
Persistenz entfernen: Geplante Tasks unter Windows sowie Crontabs und LaunchAgents unter macOS auf unbekannte Einträge prüfen.
Netzwerkverkehr prüfen: Verbindungen zu 134.209.82[.]225, insbesondere auf Port 8099, sind ein starkes Warnsignal.
Credentials rotieren: SSH-Keys, Cloud-Zugänge, Git-Tokens, API-Keys und Passwörter erneuern – idealerweise von einem als sauber geltenden Gerät aus.
System neu aufsetzen: Bei bestätigter Kompromittierung ist eine Neuinstallation oft sicherer als ein „Aufräumen“, weil Backdoors schwer vollständig zu entfernen sind.

Warum dieser Fall KI-Sicherheit neu definiert

Der Claude-Code-Vorfall zeigt ein Muster, das wir bei AIFactum immer wieder betonen: KI ist selten selbst der Angreifer. KI wird zunehmend zum Angriffsziel und zum Verstärker bestehender Sicherheitsprobleme.

Hier war die Schwachstelle nicht das Modell, kein Jailbreak und keine Prompt Injection. Es war die Lieferkette rund um ein KI-Entwicklungswerkzeug. Und genau dort entstehen derzeit die gefährlichsten Lücken: in Marketplace-Prozessen, Publisher-Vertrauen, automatischen Updates und der schnellen Installation von Tools, die Entwicklern Arbeit abnehmen sollen.

Für Unternehmen bedeutet das: KI-Sicherheit darf nicht bei der Absicherung des Modells enden. Sie muss die gesamte Toolchain umfassen, von der Erweiterung über den Agenten bis zur CI/CD-Pipeline. Security by Design ist dabei kein Marketingbegriff, sondern eine betriebliche Notwendigkeit.

Unser Fazit

Dieser Vorfall ist kein Grund, KI-Entwicklungswerkzeuge pauschal zu verteufeln. Claude Code, Cursor und ähnliche Tools machen Entwickler produktiver und genau deshalb werden sie auch attraktive Angriffsziele.

Unsere klare Position: Vertrauen in KI-Tools muss überprüfbar sein. Ein „offizieller“ Name im Marketplace reicht nicht. Entwickler und Unternehmen brauchen Versionierung, Signaturprüfung, Least-Privilege-Zugriffe, Monitoring und klare Incident-Prozesse. Wer KI-Agenten und KI-Tools in sensible Entwicklungsumgebungen integriert, muss sie wie kritische Software behandeln, nicht wie ein praktisches Plugin.

Die eigentliche Gefahr besteht nicht darin, dass KI plötzlich „böse“ wird. Die Gefahr liegt darin, dass Angreifer die Vertrauenskette um KI-Systeme ausnutzen. Dieser Fall zeigt: Die nächste Schwachstelle liegt möglicherweise nicht im Modell, sondern in dem Werkzeug, mit dem wir das Modell in unsere Systeme bringen.[

Hinweis: Dieser Artikel enthält Inhalte, die mit Unterstützung eines KI-Systems erstellt wurden. Die Inhalte wurden anschließend von einem Menschen mit ❤️ überprüft und bearbeitet, um Qualität und Richtigkeit sicherzustellen.