მიწოდების ჯაჭვზე თავდასხმის შედეგად Claude-ის მავნე გაფართოება ათასობით მოწყობილობაზე მოხვდა

SpaceX-ის კუთვნილ პროგრამული უზრუნველყოფის შემუშავების პლატფორმა Cursor-ში ხუთშაბათს დაახლოებით 11 საათის განმავლობაში ხელმისაწვდომი იყო Anthropic-ის Claude Code-ის მავნე გაფართოება Windows-ის, macOS-ისა და Linux-ისთვის. ის Cursor-ის ინტეგრირებული განვითარების გარემოს გაფართოებების ბაზარში განათავსეს. კომპანიის თქმით, ეს გაფართოება „არაუმეტეს 5 000 მომხმარებელმა“ ჩამოტვირთა. Cursor-მა გამოძიების მიმდინარეობისას გაფართოებების ბაზარი მცირე ხნით დახურა. კომპანიის განცხადებით, სხვა გაფართოებებზე ამას გავლენა არ მოუხდენია.

მავნე გაფართოებას უკანა კარი ჰქონდა, რომელიც თავდამსხმელებს მსხვერპლის მოწყობილობებზე წვდომას აძლევდა. მავნე ჰაკერები ასეთ პროგრამებს ხშირად იყენებენ სამიზნე ქსელზე უფრო ღრმა კონტროლის მოსაპოვებლად. Cursor-მა ხუთშაბათს დაახლოებით 5 000 დაზარალებული სამიზნისთვის პრობლემის აღმოსაფხვრელი ინსტრუქციები გამოაქვეყნა. თუმცა, მავნე პროგრამის ხარვეზი მის უმეტეს სამიზნეზე სრულად დამკვიდრებას უშლიდა ხელს, რაც ვითარებაში ერთადერთი შემამსუბუქებელი გარემოება აღმოჩნდა.

მავნე გაფართოება პირველად Phorion-ის მკვლევრებმა შენიშნეს, მას შემდეგ, რაც ის მომხმარებლის Mac-ზე აღმოაჩინეს. Phorion-ის თანადამფუძნებელმა და აღმასრულებელმა დირექტორმა კალუმ ჰოლმა თქვა: „აქ ყველას ძალიან გაუმართლა, თავდამსხმელს შესაძლოა მართლაც სახიფათო დასაყრდენი მოეპოვებინა“.

ჯერ კიდევ გაურკვეველია, როგორ მოხვდა მავნე გაფართოება Cursor-ის ბაზარში. ზოგი მკვლევარი თავდაპირველად ვარაუდობდა, რომ ის Anthropic-ის გატეხილი სისტემიდან გავრცელდა. თუმცა, Cursor-მა ხუთშაბათს უსაფრთხოების შესახებ გამოქვეყნებულ შეტყობინებაში განაცხადა: „გაფართოების ეს მავნე ვერსიები Anthropic-ს არ შეუმუშავებია“.

Anthropic-ის ტექნიკური პერსონალის წევრმა ფელიქს რიზებერგმა პარასკევს X-ზე დაწერა: „ამ ინციდენტზე Cursor-თან ერთად ვმუშაობთ, თუმცა Anthropic-ის სისტემები ან თანამშრომლების ლეპტოპები არ გატეხილა. მავნე აქტორმა Cursor-ის ბაზარზე წვდომა გამოიყენა, რათა Claude Code-ის გაფართოების შეცვლილი ასლი გამოექვეყნებინა. ეს ასლი ჩვენ არ შეგვიქმნია და არ გამოგვიქვეყნებია. ჩვენს ოფიციალურ არხებზე არსებული ვერსიები არ დაზიანებულა და ეს მხოლოდ Cursor-ის მომხმარებლებს ეხება“.

ამის შემდეგ მალევე Anthropic-ში უსაფრთხოებაზე მომუშავე დევიდ დვორკენმა X-ზე განმარტა: „ეს Anthropic-ის რომელიმე სისტემის გატეხვას არ უკავშირდებოდა… ჩვენ არ მიგვიღია მონაწილეობა მის შექმნაში, გამოქვეყნებასა თუ განთავსებაში“.

Cursor-მა უაირდის შეკითხვას, თუ როგორ აიტვირთა მავნე გაფართოება და იყო თუ არა ეს Cursor-ზე თავდასხმის შედეგი, პასუხი არ გასცა.