Když si vývojář nainstaluje AI asistenta – a s ním i zadní vrátka

Bezpečnost AI nástrojů nekončí u samotného modelu. Cursor potvrdil, že se 29. října v jeho tržišti rozšíření objevily škodlivé kopie rozšíření Claude Code pro Windows a macOS. Pokoušely se vytvořit trvalý vzdálený přístup k vývojářským stanicím. Pro firmy je to připomínka, že musí prověřovat také zdroj instalace, rozšíření a jejich aktualizace.

Co se v ekosystému Cursor skutečně stalo?

Podle bezpečnostního oznámení Cursoru šlo o verze 2.1.312 a 2.1.313 rozšíření Anthropic.claude-code, dostupné v Cursor VS Code Extension Marketplace po omezenou dobu 29. října 2026. Tyto škodlivé kopie nepocházely od Anthropic. Cursor je odstranil a zveřejnil postup pro kontrolu a nápravu.

Rozšíření se pokoušelo přidat SSH klíč útočníka, zprovoznit vzdálený přístup a reverzní tunel a zajistit spouštění škodlivých součástí i po restartu. Úspěch závisel mimo jiné na oprávněních a konfiguraci stanice. Cursor uvádí, že chyby a požadavky na administrátorská oprávnění bránily vzdálenému přístupu na většině hostitelů; přesto mohly zůstat nežádoucí klíče nebo další artefakty.

Analýza Microsoftu potvrzuje mechanismus SSH backdooru. Zároveň výslovně rozlišuje postiženou distribuci: Microsoft Visual Studio Marketplace ani oficiální balíček @anthropic-ai/claude-code na npm tímto incidentem zasaženy nebyly. Nelze tedy tvrdit, že byl kompromitován každý uživatel Claude Code nebo samotný AI model.

Proč jsou vývojářské stanice citlivým cílem?

Vývojářský notebook může spojovat zdrojové kódy s přístupy do cloudu, repozitářů a CI/CD. SSH klíče, přihlašovací relace nebo tokeny pro automatizaci mohou útočníkovi umožnit pokračovat do dalších systémů. To je obecné riziko kompromitace stanice, nikoli důkaz, že v tomto incidentu došlo u všech uživatelů ke krádeži tajemství.

Pro české firmy s interním vývojem i dodavatelskými týmy je proto důležité posuzovat vývojářské prostředí jako součást kritické infrastruktury firmy. Rozšíření editoru může získat přístup k pracovním souborům a běžet s oprávněními uživatele, kterému podnik důvěřuje.

Co mají firmy udělat teď?

• Zjistit rozsah expozice. Zkontrolovat inventář rozšíření, jejich verze, distribuční zdroj a historii automatických aktualizací. U dotčených instalací postupovat podle aktuálního oznámení Cursoru a porovnat telemetrii s publikovanými indikátory kompromitace.
• Prověřit stanici i přístupy. Při nálezu škodlivé aktivity izolovat zařízení podle incidentního postupu, zachovat důkazy a prověřit SSH klíče, mechanismy spouštění a neobvyklá síťová spojení. Samotná odinstalace rozšíření nemusí odstranit přetrvávající přístup.
• Obnovit důvěru v účty. Podle rozsahu kompromitace z čistého zařízení odvolat relace a obnovit dostupné klíče či tokeny. Prověřit navazující aktivitu v cloudu, repozitářích a CI/CD; podle nálezů zvážit obnovu stanice.
• Povolit jen schválená rozšíření. Allowlist vázat na konkrétního vydavatele, zdroj a potřebnou funkcionalitu. Před změnou distribuce či aktualizačního kanálu znovu posoudit důvěryhodnost.
• Omezit oprávnění a životnost tajemství. Oddělit běžnou práci od administrátorských práv, používat centrální správu tajemství a krátkodobé přístupy. Propojit monitoring endpointů s identitami a síťovou telemetrií.

Bezpečnost AI nástrojů patří do firemních pravidel

Pravidla pro AI mají pokrývat celý pracovní postup: model, pluginy, marketplace, integrace i aktualizační mechanismy. Jasný vlastník schvalování, přehled instalací a připravený incidentní postup pomáhají zkrátit dobu mezi varováním a nápravou.

Právě zde se propojují kybernetická bezpečnost, správa identit a privilegovaných přístupů s ochranou síťové infrastruktury. Podobnou potřebu prověřit navazující aktivitu po prvotním průniku ukazuje také aktuální vývoj PHP2Shell.

Důvěryhodný AI nástroj může být bezpečný. Jeho distribuční řetězec ale může být slabým místem.

Fakta ověřena k 2. listopadu 2026. Primární zdroje: bezpečnostní oznámení Cursoru a analýza Microsoft Threat Intelligence uvedené výše.

Ilustrační fotografie: Sora Shimazaki / Pexels, použito podle licence Pexels.