هک زنجیره تأمین افزونه Claude Code و انتشار تروجان دسترسی راه دور — Anthropic hacked to deliver remote access trojan to Claude developer laptops
خلاصه
یک نسخه آلوده از افزونه Claude Code در مارکتپیس Cursor شناسایی شد که سیستم توسعه‌دهندگان را هدف قرار داده بود. این حادثه امنیتی نشان‌دهنده آسیب‌پذیری‌های جدی در زنجیره تأمین ابزارهای هوش مصنوعی و اکوسیستم اکستنشن‌ها است.
مقدمه و زمینه
با افزایش روزافزون ابزارهای هوش مصنوعی و ادغام عمیق آن‌ها با محیط‌های توسعه، اکوسیستم توسعه‌دهندگان به یکی از جذاب‌ترین اهداف برای مهاجمان سایبری تبدیل شده است. اخیراً گزارشی منتشر شده که نشان می‌دهد یک نسخه مخرب از افزونه محبوب مرتبط با Claude Code در مارکتپیس Cursor توزیع شده است. این رویداد بار دیگر اهمیت امنیت زنجیره تأمین نرم‌افزار (Supply Chain Security) را در ابزارهایی که روزانه توسط توسعه‌دهندگان استفاده می‌شوند، به رخ می‌کشد.
جزئیات فنی حادثه
طبق بررسی‌های انجام‌شده، ماجرا از این قرار است که:
- نسخه مخرب
2.1.313از افزونهAnthropic.claude-codeدر مارکتپیس Cursor قرار گرفت. - این نسخه آلوده حاوی بدافزاری بود که می‌توانست به عنوان یک تروجان دسترسی راه دور (RAT) عمل کند و سیستم لپ‌تاپ توسعه‌دهندگان را آلوده سازد.
- بر اساس آمارهای اولیه، حداکثر حدود ۵۰۰۰ کاربر تحت تأثیر این نسخه قرار گرفته‌اند.
- پس از شناسایی این حادثه، نسخه‌های جایگزین مانند
2.1.314برای حذف کدهای مخرب ارائه شدند؛ با این حال، نگرانی‌هایی درباره پاکسازی کامل سیستم‌های از پیش آلوده‌شده و عدم اطلاع‌رسانی شفاف باقی مانده است.
واکنش‌ها و بحث‌های جامعه Hacker News
در بحث‌های داغ این موضوع در Hacker News، کاربران به چند نکته کلیدی اشاره کردند:
- ابهام در منبع نفوذ: برخی کاربران اشاره کردند که این حادثه مستقیماً ناشی از نفوذ به زیرساخت‌های اصلی شرکت Anthropic نبوده، بلکه مشکل در یک پکیج یا اکستنشن خاص در مارکتپیس رخ داده است.
- انتقاد از سکوت و عدم شفافیت: منتقدان به این نکته اشاره کردند که جایگزینی بی‌سروصدا و بدون اطلاع‌رسانی شفاف نسخه‌ها، ریسک امنیتی را بالا می‌برد؛ به ویژه اینکه نسخه‌های جدید لزوماً دسترسی‌های قبلی یا بک‌دورهای SSH ایجاد شده روی سیستم‌های آلوده را پاک نمی‌کنند.
- چالش امنیت ابزارهای AI: کاربران با طعنه پرسیدند چرا شرکت‌هایی که ادعای پیشتازی در هوش مصنوعی دارند، از محصولات خود برای ممیزی امنیتی کدهای خود و وابستگی‌هایشان استفاده نمی‌کنند تا جلوی چنین خطاهایی گرفته شود.
چرا این موضوع برای توسعه‌دهندگان اهمیت دارد؟
این رویداد زنگ خطری جدی برای تمام مهندسان نرم‌افزار و توسعه‌دهندگانی است که به ابزارهای شخص ثالث، افزونه‌های محیط‌های برنامه‌نویسی (مثل VS Code و Cursor) و اکوسیستم‌های نوظهور هوش مصنوعی اعتماد می‌کنند. وابستگی‌های پنهان و اکستنشن‌ها می‌توانند به راحتی به کانونی برای حملات زنجیره تأمین تبدیل شوند. بررسی دقیق دسترسی‌ها، ممیزی وابستگی‌ها و به‌روزرسانی هوشیارانه ابزارها بیش از پیش برای توسعه‌دهندگان حیاتی است.
این مطلب به‌صورت کاملاً خودکار و با هوش مصنوعی از مقالهٔ اصلی و بحث هکرنیوز تهیه شده و ممکن است خطا داشته باشد. حقوق مطلب اصلی متعلق به نویسندهٔ آن است. قوانین و گزارش مشکل