במאמר הזה
פעם בשבוע, קצר, בעברית: כלי שבדקתי, סוכן שבניתי, או טעות שעשיתי כדי שאתם לא תעשו אותה.
בקצרה: ב-29 באוקטובר, במשך כ-11 שעות, מי שהתקין או עדכן את התוסף של Claude Code דרך שוק התוספים של Cursor קיבל גרסה עם דלת אחורית: קוד שניסה להוסיף מפתח SSH של תוקף למחשב ולפתוח לו גישה מרחוק. Cursor הסירה את הגרסאות ואישרה אירוע אבטחה, ו-Anthropic הבהירה שהמערכות שלה לא נפרצו. השיעור: שם מוכר בשוק תוספים הוא לא אימות.
אני עובד עם Claude Code כל יום, והרבה מהמפתחים שאני מדבר איתם עובדים ב-Cursor. בגלל זה הסיפור הזה עניין אותי יותר מעוד כותרת על פריצה.
מה שמטריד פה הוא לא שמישהו התקין משהו מפוקפק. אף אחד לא התקין משהו מפוקפק. אנשים התקינו את התוסף הרשמי, בשם הרשמי, מהשוק של העורך שהם משתמשים בו. בדיוק מה שהייתי ממליץ לעשות.
מה קרה, בקצרה
לפי הודעת האבטחה של Cursor, ב-29.10.2026 בין 02:27 ל-13:35 שעון מערב ארה"ב הופיעו בשוק התוספים שלה שתי גרסאות משובשות של התוסף של Claude Code: 2.1.312 ו-2.1.313. Cursor הסירה אותן, סגרה זמנית את כל השוק, בדקה ששאר התוספים לא נפגעו, החליפה מפתחות וגישות, והשרת של התוקף הורד.
לפי StepSecurity, הגרסאות הנגועות הופצו תחת השם הרשמי, anthropic.claude-code, ולא כתוסף מתחזה עם שם דומה. למשתמש, זה נראה בדיוק כמו התוסף הרגיל.
מצד Anthropic, פליקס רייזנברג כתב בדיון ב-Hacker News שלא היתה פריצה למערכות של Anthropic או למחשבי העובדים, שתוקף עם גישה לשוק של Cursor פרסם שם עותק משובש, ושהגרסאות בערוצים הרשמיים של Anthropic לא הושפעו. הדיון עצמו הגיע ל-972 נקודות ו-547 תגובות, כך שלא רק אני שמתי לב.
איך התוקף קיבל גישה לשוק של Cursor, ולמי הוא כיוון, עדיין לא ידוע לפי OX Security.
מה התוסף עשה בפועל
לפי Cursor ו-OX Security, הקוד הזדוני עבד בארבעה שלבים:
- איסוף: שם המחשב, שם המשתמש, מערכת ההפעלה, תיקיית הבית ושמות משתני הסביבה.
- מפתח: הוסיף מפתח SSH של התוקף לרשימת המפתחות המורשים במחשב, וניסה להפעיל שירות SSH ולפתוח מנהרה החוצה.
- התמדה: ניסה להשאיר רכיב שרץ מחדש גם אחרי הפעלה מחדש של המחשב, במק ובווינדוס.
- דיווח: שלח את הפרטים לשרת של התוקף.
לפי StepSecurity, הקוד הוצמד לתחילת הקובץ הראשי של התוסף ורץ ברגע ההתקנה. לא היה צריך ללחוץ על שום דבר.
החדשות הטובות, יחסית
לפי BleepingComputer, הנוזקה היתה מלאה באגים. במק, הפעלת SSH נכשלה בלי הרשאות מנהל. בווינדוס היא ניסתה פקודות שבכלל לא קיימות שם. גם Cursor כתבה שרוב הניסיונות נכשלו בלי הרשאות מנהל. הסיקור מדבר על עד 5,000 משתמשים שהושפעו, אבל זו תקרה ולא ספירה, ו-Cursor עצמה לא פרסמה מספר.
במילים אחרות: הפעם התוקף היה מרושל. אני לא הייתי בונה על זה בפעם הבאה.
כל שבוע אני מסביר בגיליון מה קרה בעולם של כלי AI לקוד, ומה צריך לבדוק לפני שמתקינים. הצטרפו לגיליון "אלעד עמרני AI".
מה לבדוק אם אתם עובדים ב-Cursor
אם התקנתם או עדכנתם את התוסף של Claude Code ב-Cursor ב-29 באוקטובר, אל תסתפקו בהסרה. לפי Cursor ו-OX Security, זה מה שצריך לעשות:
- בדקו אם בקובץ המפתחות המורשים של SSH במחשב יש מפתח עם התווית svc-telemetry, ואם כן הסירו אותו.
- חפשו והסירו את רכיב ההתמדה: משימה מתוזמנת בווינדוס, או רכיב שעולה עם המערכת במק.
- החליפו סיסמאות, טוקנים ומפתחות API שהיו שמורים או נגישים מהמחשב.
- אם יש ספק, בנו את המחשב מחדש.
את ההוראות המדויקות ואת סימני הזיהוי המלאים תמצאו בהודעה של Cursor. עדיף לעבוד משם ולא מסיכום של מישהו אחר.
מה אני לוקח מזה
תוסף לעורך קוד רץ עם ההרשאות שלכם. הוא רואה את הקבצים שלכם, את משתני הסביבה ואת המפתחות ששמורים במחשב. כשהתוסף הוא כלי AI שתפקידו לקרוא קוד ולהריץ פקודות, ההרשאות האלה גדולות עוד יותר.
ועדיין, רובנו מתקינים תוספים כמו שמתקינים אפליקציה בטלפון: לוחצים, ולא חושבים על זה שוב. עדכונים יורדים לבד ברקע. בדיון ב-HN חזרו שוב ושוב על אותן נקודות: אין חתימה שמוכיחה שתוסף באמת הגיע מהחברה שהשם שלה מופיע עליו, ואין אימות שמי שמפרסם בשם של חברה גדולה הוא באמת החברה.
כלי AI לקוד הם יעד, דווקא בגלל שהם פופולריים וכל כך הרבה מפתחים סומכים עליהם. זה לא סיבה להפסיק להשתמש בהם. זה סיבה להתקין אותם בעיניים פקוחות.
מה אני הייתי עושה
צעד ראשון אחד, עוד היום: תפתחו את רשימת התוספים בעורך שלכם, ותמחקו כל מה שלא השתמשתם בו בחודש האחרון. כל תוסף שנשאר הוא עוד מישהו שיש לו גישה למחשב שלכם.
ואחר כך, שני הרגלים קטנים:
- מקור רשמי: כשיש לכלי ערוץ התקנה של החברה עצמה, כמו Claude Code מהטרמינל, שווה לשקול אותו לפני גרסה משוק של צד שלישי.
- עדכונים בעיניים: לא כל עדכון צריך להיכנס ברגע שהוא יוצא. כשהגרסה החדשה של כלי מרכזי יצאה לפני שעה, אפשר לחכות יום.
אם אתם מתקינים כלים לסוכנים מגיטהאב, אותו היגיון חל גם שם. כתבתי על ארבעה כלים לסוכני AI שהתפוצצו בגיטהאב ועל מה חברות הענק נותנות בחינם למי שעובד עם סוכנים.
שאלות נפוצות
האם Claude Code עצמו נפרץ?
לא. לפי Anthropic, המערכות והמחשבים של העובדים שלה לא נפרצו. תוקף עם גישה לשוק התוספים של Cursor פרסם שם עותק משובש, והגרסאות בערוצים הרשמיים של Anthropic לא הושפעו.
אילו גרסאות נגועות?
לפי Cursor, הגרסאות 2.1.312 ו-2.1.313 של התוסף, שהופיעו בשוק שלה ב-29.10.2026 בין 02:27 ל-13:35 שעון מערב ארה"ב. מי שהתקין או עדכן את התוסף ב-Cursor בחלון הזה צריך לבדוק את המחשב.
מספיק להסיר את התוסף?
לא. לפי Cursor ו-OX Security, הקוד ניסה להוסיף מפתח SSH ולהשאיר מנגנון שרץ מחדש. צריך לבדוק ולהסיר גם אותם, ולהחליף סיסמאות וטוקנים שהיו נגישים מהמחשב.
זה נוגע גם למי שעובד ב-VS Code?
לפי הסיקור, האירוע היה רק בשוק של Cursor. השוק של Microsoft ל-VS Code, Open VSX ו-npm לא הושפעו.
המידע נכון ל-1 בנובמבר 2026, לפי הודעת האבטחה של Cursor, StepSecurity, OX Security, BleepingComputer והתגובה של Anthropic ב-Hacker News.
אני מפתח סוכני AI לחברות ב-Agentic-dev, ומעביר סדנאות לצוותים שרוצים לעבוד עם AI נכון.
רוצים לשמוע על אירועים כאלה מוקדם, עם מה שבאמת צריך לעשות? הצטרפו לגיליון "אלעד עמרני AI".
בונה סוכני AI לעסקים ב-Agentic-dev, החברה שלי, ומלמד צוותים לעבוד עם AI וסוכנים, בסדנאות ובהרצאות.
