Anthropic의 Felix임. 이번 사건을 Cursor와 함께 조사하고 있지만, Anthropic 시스템이나 직원 노트북이 침해된 것은 아님. 공격자가 Cursor 마켓플레이스 접근 권한을 이용해 변조된 Claude Code 확장을 게시했으며, 이 확장은 우리가 제작하거나 게시한 것이 아님. 공식 배포 경로의 버전은 안전하며 Cursor 사용자만 영향을 받음.
혼란스러워서 확인하고 싶음. Cursor Editor는 VS Code의 포크이고, Claude Code for VS Code v2.1.313이 Cursor의 확장 마켓플레이스·배포 시스템에서만 변조됐으며, 공식 VS Code 마켓플레이스의 확장은 영향이 없다는 뜻인가?
공식 VS Code 마켓플레이스에도 v2.1.313이 게시됐는가? 그렇다면 그곳의 같은 버전은 변조되지 않았다는 뜻인가?
이 정도면 Cursor의 신뢰성을 심각하게 의심할 근거이며, 존립을 위협할 수도 있음. 요즘처럼 고도화된 에이전트 실행 도구가 있는 상황에서 이 VS Code 포크가 더하는 가치는 무엇인가? 앞으로 감수해야 할 위험에 비해 이점이 크지 않아 보임.
Cursor가 확장 검증을 개선하지 않으면 막을 방법이 없는 것인가? 여기서도 혼동이 보이는데, Anthropic의 관리 범위 밖에 있는 제3자 마켓플레이스가 맞는가?
Anthropic의 Dworken임. Anthropic 시스템은 침해되지 않았음. 공격자가 Cursor 마켓플레이스 접근 권한을 이용해 Cursor 사용자를 겨냥한 변조 확장을 게시했으며, 우리는 이를 제작·게시·호스팅하지 않았음. VS Code와 OpenVSX를 포함한 공식 배포 경로는 영향이 없고, Cursor 사용자에게만 해당함.
Anthropic의 공식 확장은 VS Code용뿐이며, VS Code 포크인 Cursor에는 별도 마켓플레이스가 있음. 내가 이해하기로 Anthropic은 Cursor용 확장을 배포하지 않으며, 사실상 다른 주체가 만든 공식 Claude Code 확장의 복제본임.
AI로 정리하면, 변조된 v2.1.313은 Anthropic이 개발하거나 승인한 빌드가 아님. 공격자가 Cursor/Open-VSX 안에서 정상 확장의 신원을 탈취하거나 사칭해 실제 Anthropic 코드에 무단 SSH 백도어를 끼워 넣은 것임.
Anthropic이 악성 확장을 개발하지 않았다는 것은 당연하지만, 게시한 주체도 아닌가? 제3자 라이브러리를 통해 들어온 것인가, 아니면 누군가 마켓플레이스 계정에 접근한 것인가?
처음에는 Open VSX와 Cursor 마켓플레이스의 확장만 영향을 받고 공식 마켓플레이스 빌드는 안전하다고 봤음. 다만 다시 확인해 보니 확신하기 어려움. 관련 글들은 Cursor와 Open VSX를 명시하지만 Microsoft 공식 레지스트리는 분명하게 다루지 않음.
추가로 확인하니 변조된 2.1.313은 Microsoft 공식 레지스트리에 게시된 적이 없는 것으로 보임. 문서에 따르면 게시를 취소해도 통계는 보존되며, 확장을 공개적으로 검색하거나 기존 API로 조회할 수 있어야 함. https://code.visualstudio.com/api/working-with-extensions/pu...
Anthropic의 Dworken임. Cursor 마켓플레이스에 호스팅된 확장만 영향을 받았음. 공식 VS Code 확장 마켓플레이스와 OpenVSX는 영향이 없으며, VS Code에서 Claude Code를 쓰는 사용자도 해당하지 않음.
Microsoft VS Code 마켓플레이스를 뜻하는가? 그곳에서도 해당 버전이 내려갔지만, 같은 버전이 한쪽에서는 감염되고 다른 쪽에서는 안전한 혼란을 피하려는 예방 조치일 수도 있음.
이번 일은 신뢰할 수 없는 소프트웨어를 무심코 설치하는 위험을 잘 보여 줌. Anthropic이 아니라 어느 개발사에서든 일어날 수 있는 일임. 보안 취약점 탐지에 LLM이 꽤 유능한 만큼, Anthropic이 배포 전에 자체 AI 도구로 검증하지 않은 것인지 궁금함. 아니면 배포 이후 변조된 것인가? 후자라면 Open VSX의 모든 확장이 위험할 수 있음.
스크린샷은 공식 마켓플레이스를 보여 주고 있음.
근거가 있는가? 원문은 Open VSX도 영향을 받는다고 하고 있음.
“Anthropic이 침해됐고 수천만 개발자가 쓰는 Cursor 확장이 SSH 역방향 백도어로 원격 접근 트로이 목마를 배포했다”는 표현은 과장이 있음. 누군가 Cursor 마켓플레이스에 백도어가 들어간 Claude Code VS Code 확장을 게시한 사건임. Cursor 공지도 악의적으로 변조된 버전이 해당 마켓플레이스에 올라왔다고 기술함. https://cursor.com/blog/claude-code-extension-security-notic...
기사대로라면 2.1.313이 OpenVSX, Visual Studio Marketplace, Cursor에서 조용히 삭제됐음. 드러난 것보다 더 많은 일이 벌어지고 있으며, Cursor가 SpaceX와의 대규모 데이터센터 계약 때문에 Anthropic을 감싸고 있다고 봄.
OpenAI에서 이런 일이 벌어졌다면 모든 곳에 즉시 자동 업데이트됐을 것인가? VS Code의 자동 업데이트 지연을 일주일로 설정해 뒀는데, 이제 보니 Microsoft·GitHub·OpenAI처럼 신뢰할 수 있는 게시자의 확장에는 지연이 적용되지 않고 즉시 업데이트된다고 함. 어떤 게시자를 신뢰할지 직접 설정할 수도 없음. https://code.visualstudio.com/updates/v1_123
기본값이 일주일이었다면 확산을 줄이는 데 도움이 됐겠지만, 기본 지연은 2시간임. 따라서 어제 미국 주요 업무 시간대에 약 9시간 동안 변조 확장으로 자동 업데이트될 여지가 있었음. 다만 Anthropic은 해당 패키지가 Microsoft가 아닌 Cursor 마켓플레이스에만 게시됐다고 밝히고 있음.
지난봄부터 전통적인 텍스트 편집기를 시험해 봤고, 지금은 Neovim을 만족스럽게 쓰고 있음.
최근 깨달았는데, 나를 포함해 Claude Code나 Codex 사용자는 사실상 매일 원격 코드를 실행해 온 셈임. curl | bash를 조심하라는 경고가 무색해짐. 보안과 개인정보 보호가 실제로 무엇을 뜻하는지 돌아보게 됨. 이 CLI들이 내 디렉터리 전체를 몰래 수집하고 있었어도 알 수 없는데, 누가 점검하고 있는가?
LLM을 유용하게 쓰려면 필요한 정보를 전부 줘야 한다는 것도 잊으면 안 됨. 적절한 법적 보호를 갖춘 제공업체가 아니라면 넘긴 정보는 그대로 잃는 셈임. 그 어느 때보다 많은 코드와 기업 비밀을 정체 모를 곳으로 전송했을 가능성이 큼. 샌드박스를 구성해 접근을 제한할 수는 있음.
에이전트 개발 도구는 운영 환경 접근 권한과 호스트 공유 폴더가 없는 QEMU 가상 머신에서만 사용함. 비밀 정보도 개발용뿐임. Git SSH 키는 있지만 ssh-agent에 키를 올리지는 않음.
최악에는 키로거가 설치돼 SSH 키와 암호가 유출될 수 있지만, 배포에는 GitHub 릴리스 생성이 필요해 SSH 키만으로는 불가능함. OpenVSX로 설치한 Claude를 써서 어제 공격을 운 좋게 피했지만, 변조 버전을 설치했어도 피해는 작았을 것임.
이번 사건은 확장 공급망 공격임. 설치하는 어떤 확장·패키지·소프트웨어에서도 같은 일이 일어날 수 있음. Anthropic을 두둔하려는 것은 아니지만, 이 사건이 Claude Code나 Codex 사용 자체의 보안·개인정보 보호를 판단할 근거는 아님. 도구의 동작을 조심해야 하는 것은 맞지만, 별개 경로로 공격당할 가능성과는 구분해야 함.
“누가 점검하는가?”라는 질문을 보니, 소프트웨어 개발자를 엔지니어라고 부르면 안 된다는 쪽에도 공감하게 됨.