Claude Code: il nome giusto, il negozio sbagliato

Quando un programma che usi ogni giorno ti propone un aggiornamento, quanto lo guardi prima di dire sì?

Il 29 ottobre 2026, per undici ore, quel sì poteva costare caro. Nel negozio di estensioni di Cursor, un programma per scrivere codice con l’AI, sono comparse versioni dell’estensione di Claude Code che avevano il nome giusto, facevano il loro lavoro e intanto provavano a preparare un ingresso di servizio per qualcun altro.

Anthropic, l’azienda di Claude, quelle versioni manomesse non le ha sviluppate: qualcuno ha aggiunto codice malevolo all’estensione originale. Chi sia, le fonti per ora non lo dicono.

Aggiornamento del 1° novembre 2026. La sera del 30 ottobre, dopo l’uscita di questo articolo, Cursor ha aggiornato il suo avviso: le versioni manomesse sono due, la 2.1.312 e la 2.1.313, per Mac e Windows, nella stessa finestra del 29 ottobre. Nell’avviso aggiornato non c’è più il numero di al massimo 5.000 utenti colpiti, e nemmeno l’impegno a contattarli direttamente. Il controllo da fare resta lo stesso. Ho corretto l’articolo dove serviva.

Cosa è successo il 29 ottobre

Cursor è un editor di codice con l’AI che usa le estensioni di Visual Studio Code, l’editor di Microsoft. Le estensioni sono componenti aggiuntivi: le installi dentro il programma e gli danno funzioni nuove. Una di queste è quella di Claude Code, lo strumento di Anthropic che porta Claude dentro l’ambiente di lavoro, dove legge i file e mette le mani nel progetto.

Cursor le estensioni non le prende dal negozio di Microsoft. Le fa passare da un negozio suo, che le pesca da Open VSX, un archivio aperto di estensioni. La guida di Cursor dice che, prima di mostrarle o di farle scaricare, le controlla con strumenti di sicurezza commerciali e blocca quelle che non passano l’esame.

Il 29 ottobre, fra le 2:27 e le 13:35 ora della California, cioè dalle 10:27 alle 21:35 ora italiana, in quel negozio sono comparse versioni manomesse di «Anthropic.claude-code». Lo stesso giorno Cursor ha pubblicato un avviso di sicurezza: nella prima stesura parlava della sola 2.1.313, di al massimo 5.000 utenti colpiti e dell’impegno a contattarli direttamente. Il 30 ottobre l’ha aggiornato: le versioni modificate con codice malevolo sono la 2.1.312 e la 2.1.313, per Mac e Windows, Anthropic non le ha sviluppate, e il numero degli utenti nell’avviso non c’è più.

Poi l’elenco delle contromisure. Cursor ha tolto l’estensione manomessa e ne ha bloccato la distribuzione, ha spento per precauzione l’intero negozio di estensioni, ha controllato gli accessi e verificato che nessun’altra estensione fosse stata toccata, ha cambiato le sue chiavi, ha ricostruito il negozio e l’ha rimesso online. Insieme al fornitore cloud che ospitava il server dell’attaccante, l’ha fatto spegnere. Entro il 30 ottobre, scrive The Hacker News, Anthropic aveva pubblicato la versione 2.1.314 sia su Open VSX sia sul negozio di Microsoft.

Manca un pezzo, e pesa. Come ci siano entrate, quelle versioni, Cursor non lo spiega. Il suo avviso descrive cosa faceva il codice e come ripulire, e sulla strada d’ingresso tace.

Il negozio controllava le estensioni prima di offrirle. E il problema, secondo quanto Cursor ha confermato ai ricercatori, è nato proprio nel negozio.

Cosa faceva, in parole semplici

Per capirlo serve una parola: SSH. È il sistema con cui si entra in un computer a distanza e gli si danno comandi, come se ci fossi seduto davanti. Per entrare senza password si usa una coppia di chiavi: sul computer da raggiungere si registra la chiave pubblica in un elenco di chiavi autorizzate, e chi si collega deve avere la chiave privata che le corrisponde. E tutto questo funziona solo se sul computer il servizio SSH è acceso e raggiungibile.

Il codice malevolo, secondo l’avviso di Cursor, lavorava in tre tempi.

Il primo: raccoglieva informazioni e le mandava a casa. Il nome del computer e dell’utente, il sistema operativo, le cartelle di lavoro, l’email usata per Git, il sistema che tiene la storia delle versioni del codice, l’indirizzo internet pubblico. E i nomi delle variabili d’ambiente, cioè le impostazioni che il computer tiene pronte per i programmi, dove spesso finiscono chiavi e password. Nel primo invio c’erano i nomi, non i valori. Ma come ha spiegato il ricercatore Paul McCarty a The Hacker News, anche i soli nomi raccontano quali servizi cloud usi e che tipo di credenziali hai. E un accesso via SSH riuscito, aggiunge, permetterebbe di guardare direttamente dentro l’account.

Il secondo: provava ad aggiungere la chiave dell’attaccante a quell’elenco di chiavi autorizzate, ad accendere il servizio SSH e ad aprire un tunnel inverso. Il tunnel inverso funziona al contrario di come ti aspetti: è il tuo computer a chiamare fuori, verso il server dell’attaccante, così la porta si apre da dentro.

Il terzo: si metteva comodo. Un avvio automatico sul Mac, un’operazione pianificata su Windows, e script in sottofondo, cioè file di comandi che girano da soli, che riprovano il collegamento circa ogni sessanta secondi.

Ora la parte che rassicura. Accendere il servizio SSH richiede i permessi da amministratore, e sulla maggior parte dei Mac e dei PC Windows l’estensione quei permessi non li ha. In più, scrive Cursor, per errori nel codice malevolo quel passaggio falliva, salvo casi molto insoliti, come Cursor avviato da amministratore. In quei computer l’attaccante dal tunnel non poteva entrare. E il server, oggi, è spento.

Poi la parte che rassicura meno. Secondo Cursor, l’estensione la chiave dell’attaccante l’ha aggiunta comunque. L’avvio automatico l’ha installato comunque. E i dati del computer li ha mandati all’attaccante; da quando il suo server è spento, quegli invii non arrivano più. E Cursor avverte che disinstallare l’estensione potrebbe non bastare: lascia script che continuano a girare per conto loro.

Qui anche un tentativo fallito lascia gli attrezzi in casa.

Tre travestimenti, tutti vecchi

La parte tecnica è da specialisti. Il modo in cui si è fatto accettare, invece, riguarda chiunque. Perché il codice malevolo si è presentato con tre travestimenti che conosci benissimo, anche se non li hai mai chiamati così.

Il nome giusto

«anthropic.claude-code», con un numero di versione credibile. Io uso Claude Code dentro Visual Studio Code, preso dal negozio di Microsoft. Il 30 ottobre sono andato a guardare: sul mio computer l’ultima versione installata era la 2.1.312, arrivata da lì. Nel negozio di Cursor, quello stesso numero e il successivo erano proprio le due versioni manomesse. Stesso nome, stesso numero, un’altra provenienza: Cursor sul mio Mac non c’è, e il controllo che indica il suo avviso non trova la chiave «svc-telemetry». Un aggiornamento come tanti, di quelli che arrivano e che nessuno apre.

Il 27 ottobre ho raccontato le false pagine «Scarica Claude» ospitate sul sito vero di Anthropic. Lì il travestimento era il dominio, l’autorità presa in prestito dal nome del sito. Qui è un passo più in là: il nome dell’estensione, nel negozio che usi ogni giorno, esattamente dove ti aspetti di trovarla. Il solito negozio, il solito nome, il solito pulsante.

Il lavoro fatto bene

Secondo i ricercatori di OpenSourceMalware, ripresi da CyberPress, il resto dell’estensione corrispondeva a quella vera. Le righe malevole, sessantasei, stavano in cima al file principale; sotto c’era il codice originale. Gli errori della parte nascosta venivano soffocati apposta, così l’estensione continuava a funzionare anche quando la porta non si apriva. E il codice partiva appena il programma caricava l’estensione, senza bisogno di aprire una conversazione con Claude.

Un programma lo giudichi da come lavora. Se risponde, se completa il codice, se non dà errori, è a posto. È una scorciatoia comprensibile, la usi cento volte al giorno. Ma funzionare bene ed essere sicuro sono due cose diverse, e qui tenere intatte le funzioni originali poteva rendere meno evidente la manomissione.

Un’estensione che funziona male ti salta all’occhio in un’ora. Una che funziona bene la dimentichi.

L’etichetta noiosa

La chiave dell’attaccante, nell’elenco delle chiavi autorizzate, portava l’etichetta «svc-telemetry»: servizio di telemetria, cioè i dati di funzionamento che tanti programmi mandano a chi li produce. Sul Mac l’avvio automatico si chiamava «com.apple.sysmond», un nome che sembra uscito da Apple. Su Windows l’operazione pianificata si chiamava «SysMon». The Hacker News lo scrive senza giri di parole: l’etichetta serviva a far sembrare la chiave innocua.

Funziona perché l’attenzione va dove qualcosa stona. Un nome strano lo apri, un nome che suona di sistema lo salti. Il cervello lo archivia come rumore di fondo, la stessa voce che ignori quando scorri l’elenco dei processi o delle app in background. Quei nomi facevano sembrare ordinari i pezzi dell’attacco: in mezzo a cento voci di sistema, una in più passa.

Il travestimento migliore è un’etichetta che ti fa sbadigliare.

L’aggiornamento automatico è un sì firmato in bianco

Jenn Gile, cofondatrice di OpenSourceMalware, l’ha detto a The Hacker News in una frase: la versione è stata tolta molto in fretta, ma chiunque avesse Claude Code impostato per aggiornarsi da solo potrebbe aver ricevuto il codice malevolo.

Gli aggiornamenti automatici sono una buona idea. Chiudono le falle senza aspettare che ti ricordi di farlo, e chi resta indietro si tiene i difetti vecchi. Il punto è un altro. Con l’aggiornamento automatico la fiducia la dai una volta sola, e poi si rinnova da sé, ogni volta, verso chiunque riesca a mettere un pacchetto in quel negozio.

Pochi giorni fa ho scritto di come Anthropic abbia spostato Claude verso la modalità automatica, e del numero che lo spiega: secondo Anthropic, quando Claude Code chiedeva il permesso, la risposta era sì il 97% delle volte. Lì si parlava di azioni dell’agente, qui di aggiornamenti, e io ci vedo una somiglianza. Un sì che dici quasi sempre rischia di smettere di essere una scelta. Diventa un riflesso. E un riflesso è prevedibile, anche per chi vuole sfruttarlo.

La via di mezzo esiste, e l’ha scritta Cursor stessa nella sua guida. Si chiama attesa prima dell’installazione: il programma rimanda l’installazione e l’aggiornamento delle estensioni finché una versione non è nel negozio da un certo numero di ore. Lo scopo, dice la guida, è avere un margine contro i caricamenti malevoli che restano online poco tempo. Le versioni manomesse, secondo l’avviso, sono rimaste disponibili in una finestra di poco più di undici ore. Se un’attesa di un giorno le avrebbe fermate tutte e due, l’avviso non permette di dirlo: dipende da quando ciascuna è comparsa nel negozio, e Cursor non lo scrive. Ma è proprio il tipo di caricamento contro cui l’attesa è pensata. È il vecchio «dormici sopra», applicato al software: lasci passare una notte, e intanto qualcun altro ha il tempo di accorgersi del problema.

Il primo ad aggiornare è anche il primo a fare il collaudo.

Il negozio conta quanto il marchio

C’è una frase, nella guida di Cursor, che vale più di tutto l’avviso. Lo stesso nome di estensione, sul negozio di Microsoft e su Open VSX, può indicare editori diversi o codice diverso. Il consiglio di Cursor è trattare i nomi delle estensioni come le dipendenze di un progetto, cioè i pezzi di codice altrui su cui il tuo si appoggia: installare solo da editori di cui ti fidi.

Quando installi «l’estensione di Anthropic», pensi di fidarti di Anthropic. In realtà ti fidi di una catena intera: chi scrive il codice, chi lo pubblica, il negozio che lo distribuisce, l’aggiornamento che arriva mentre lavori. Il marchio è solo il primo anello. Qui ha ceduto il terzo, e proprio quello che aveva il compito di controllare gli altri.

Riguarda anche chi il codice non lo scrive. Vale per le estensioni del browser, per i plugin del sito WordPress, per le app del telefono e, sempre di più, per i connettori e le aggiunte degli assistenti AI. Ogni volta che installi un componente o colleghi un servizio, gli affidi gli accessi previsti dai suoi permessi, e il nome sulla scatola ti dice solo chi l’ha disegnata.

Sulla scatola c’è il marchio. Dentro c’è quello che il negozio ti ha consegnato.

Quanto preoccuparsi, davvero

Metto ordine, senza allarmi e senza sconti.

Se non usi Cursor, queste versioni false non ti toccano direttamente. I ricercatori indicano come non colpiti l’estensione sul negozio di Microsoft, quella su Open VSX e il pacchetto ufficiale di Claude Code su npm, l’archivio da cui si scaricano i pacchetti di codice JavaScript, e Cursor scrive di non avere prove che altre versioni o la distribuzione ufficiale siano coinvolte.

Se usi Cursor ma il 29 ottobre, fra le 10:27 e le 21:35, l’estensione di Claude Code non si è installata né aggiornata, le versioni manomesse dal negozio di Cursor non le hai ricevute.

Se invece ne hai ricevuta una, non aspettare che ti scrivano: la prima stesura dell’avviso parlava di al massimo 5.000 utenti colpiti, da contattare direttamente, quella aggiornata non dà più un numero e non ripete l’impegno. Secondo Cursor, sulla maggior parte dei computer l’accesso via SSH non si è aperto, e il server dell’attaccante oggi è spento: niente più collegamenti né invii verso quell’indirizzo. Ma, scrive Cursor, l’estensione ha aggiunto la chiave dell’attaccante e installato l’avvio automatico anche col tunnel fallito, e ha mandato all’attaccante le informazioni sul computer. Quello che è stato installato resta lì finché non lo togli. Per questo Cursor chiede di cambiare credenziali e sessioni raggiungibili da quel computer, e di farlo da un sistema fidato: la raccolta limitata delle variabili d’ambiente, scrive, non esclude che qualcuno abbia raggiunto le credenziali più tardi, passando dalla porta nascosta.

Per chi non usa Cursor è una lezione. Per chi ci è finito dentro, un lavoro da fare fino in fondo.

Come portarlo nel tuo lavoro

Se usi Claude Code, o se nel tuo studio qualcuno lavora con un editor e l’AI, ci sono cose da fare oggi, e altre da fare una volta e poi lasciare lì.

1. Controlla se ti riguarda. Usi Cursor, hai l’estensione di Claude Code, e il 29 ottobre fra le 10:27 e le 21:35 si è installata o aggiornata alla 2.1.312 o alla 2.1.313, su Mac o Windows? Apri l’avviso di sicurezza sul blog di Cursor partendo da cursor.com scritto a mano. Il controllo cerca una parola, «svc-telemetry», nel file delle chiavi autorizzate: se la trova, il computer è colpito. Martedì ho scritto di prendere i comandi da incollare solo dalla documentazione ufficiale, o di lasciarli al tecnico di fiducia. Vale anche qui: il comando lo copi dalla pagina di Cursor, mai da un messaggio che ti arriva.
2. Se sei colpito, segui tutta la procedura di Cursor. Cerca anche gli altri segni elencati nell’avviso, isola il computer che li mostra e usa lo script ufficiale per togliere estensione, chiave, avvio automatico e collegamenti ancora attivi: sul Mac lo esegui dall’account colpito, senza sudo e senza passare all’utente root, il superutente del sistema; su Windows da PowerShell aperto come amministratore. Poi valuta se reinstallare il computer da capo. Da un dispositivo fidato cambia le password, revoca e sostituisci le chiavi, chiudi le sessioni aperte a cui quel computer arrivava. Fermarti alla disinstallazione dell’estensione potrebbe lasciare gli script al loro posto.
3. Metti un’attesa agli aggiornamenti delle estensioni. In Cursor puoi impostare extensions.installCooldownHours, le ore di attesa, se il tuo team non ne ha già imposta una: quando l’attesa la decide il team, nelle impostazioni di sicurezza, vale per tutti e prevale su quella del singolo. Un giorno di attesa lascia ad altri il tempo di accorgersi di una versione sbagliata, e a te quello di leggerlo.
4. Sappi dove stanno le tue chiavi. Le chiavi API sono le credenziali con cui un programma usa i servizi di un fornitore a nome tuo. Quelle di ChatGPT, Claude o Gemini che tieni sul computer sono fra le cose che fanno più gola a un intruso, e i nomi delle variabili d’ambiente gli dicono dove guardare. Una chiave in mano ad altri è prima di tutto un contatore che gira a nome tuo. Tienine un elenco con il nome di ogni chiave, il fornitore e gli strumenti che la usano, senza copiarci il valore segreto; metti un tetto di spesa dove il fornitore lo permette, e cambiale quando un programma che le leggeva finisce nei guai.
5. Tieni meno estensioni, e sceglile meglio. Le estensioni di un editor possono avere un accesso ampio ai tuoi file e ai comandi del computer: guarda cosa autorizzi. Tieni quelle che usi davvero, di editori che riconosci. Se lavori in squadra, decidi un elenco di estensioni ammesse e affida le installazioni a una persona sola: Cursor, per le aziende, l’elenco lo prevede già.

La sicurezza, qui, è una questione di abitudini prima che di tecnica. Il codice malevolo ha imitato un aggiornamento qualunque, con un nome qualunque e un’etichetta qualunque. Si difende chi tratta l’aggiornamento come una scelta, almeno ogni tanto.

Fidarsi va bene. Fidarsi in automatico è un’altra cosa.

Domande frequenti

Uso Claude Code in VSCode e non in Cursor: sono a rischio?

Per queste versioni false, no secondo le informazioni disponibili. Il numero di versione da solo non basta: conta il negozio da cui è arrivata, e le versioni manomesse sono quelle distribuite dal negozio di Cursor. I ricercatori di OpenSourceMalware, ripresi da CyberPress, indicano come non colpiti l’estensione sul negozio di Microsoft, quella su Open VSX e il pacchetto npm ufficiale di Claude Code, e Cursor scrive di non avere prove che la distribuzione ufficiale sia coinvolta. La regola generale resta: estensioni dal negozio ufficiale, aggiornamenti tenuti d’occhio.

Come capisco se ho installato una delle versioni false?

Ti riguarda se usi Cursor e l’estensione di Claude Code si è installata o aggiornata alla 2.1.312 o alla 2.1.313, su Mac o Windows, il 29 ottobre 2026, fra le 10:27 e le 21:35 ora italiana. Cursor ha pubblicato sul suo blog un controllo che cerca l’etichetta «svc-telemetry» fra le chiavi SSH autorizzate. Nella prima stesura dell’avviso diceva che avrebbe contattato direttamente gli utenti colpiti; nella versione aggiornata quella frase non c’è più, quindi il controllo conviene farlo da te.

Basta disinstallare l’estensione?

Secondo Cursor potrebbe non bastare: le versioni false lasciano script separati che continuano a girare e ritentano il collegamento. Serve la procedura completa dell’avviso: il controllo degli altri segni, l’isolamento del computer che mostra tracce dell’attacco, gli script di rimedio pubblicati da Cursor per Mac e Windows, la valutazione di una reinstallazione e poi, da un dispositivo fidato, il cambio delle password, la revoca e la sostituzione delle chiavi e la chiusura delle sessioni.

L’attaccante è entrato nei computer colpiti?

Secondo Cursor, sui computer dove l’attivazione di SSH falliva, cioè la maggior parte dei Mac e dei PC Windows, l’attaccante non avrebbe potuto entrare attraverso quel tunnel: servivano permessi da amministratore che l’estensione non aveva, e per errori nel codice il passaggio falliva salvo casi molto insoliti. Le fonti non dicono quanti accessi siano riusciti davvero. Secondo Cursor, chiave e avvio automatico sono stati installati comunque, e le informazioni sul computer sono state mandate all’attaccante. Il suo server oggi è spento, e quegli invii non funzionano più.

Chi c’è dietro, e come sono entrate le versioni false?

Al momento nessuno lo ha detto. Secondo OpenSourceMalware, Cursor ha confermato che il problema è nato nel suo negozio di estensioni, e non su Open VSX. Cursor ha cambiato le sue chiavi e ha ricostruito il negozio, ma non ha spiegato da dove siano passate le versioni manomesse. Se arriveranno dettagli, cambieranno il quadro su chi deve stare attento e a cosa.

Fonti

• Cursor, «Security notice — malicious version of Anthropic.claude-code (2.1.312 and 2.1.313) identified in the Cursor VS Code Extension Marketplace», 29 ottobre 2026, aggiornato il 30 ottobre 2026: cursor.com/blog/claude-code-extension-security-notice
• Cursor, guida alle estensioni (marketplace, Open VSX, attesa prima dell’installazione): cursor.com/docs/configuration/extensions
• The Hacker News, «Official Claude Code VS Code Extension Compromised to Install Persistent SSH Backdoor», 30 ottobre 2026: thehackernews.com
• CyberPress, «Hackers Compromise Claude Code Extension in Cursor Marketplace to Install Persistent SSH Backdoor», 30 ottobre 2026: cyberpress.org