Claude Code 2.1.313 con backdoor en Cursor: qué revisar ya

Una versión de la extensión Claude Code 2.1.313 con backdoor se publicó en el marketplace de extensiones de Cursor, y el aviso escaló rápido: el análisis de DoublePulsar superó los 399 puntos en Hacker News el 30 de octubre de 2026. El propio Cursor publicó un aviso de seguridad titulado "Malicious Claude Code Extension Found in Cursor Marketplace". Para cualquier developer que tenga Claude Code instalado dentro de Cursor, la pregunta ya no es teórica: ¿qué versión tengo y qué ha podido hacer en mi máquina?

El caso importa porque las extensiones de un IDE corren con los permisos del usuario: leen el código, el terminal, las variables de entorno y, con frecuencia, las claves de API. Una extensión comprometida en la herramienta que usas ocho horas al día es uno de los vectores más rentables para un atacante. En este artículo cruzamos las tres fuentes publicadas, separamos lo confirmado de lo que no lo está y proponemos una lista de comprobación accionable para equipos en España y LATAM que trabajan con agentes de código.

¿Qué ha pasado con la extensión Claude Code en Cursor?

Los hechos que comparten las tres fuentes son pocos pero claros. Primero, existió una build concreta, la 2.1.313, distribuida a través del marketplace de Cursor. Segundo, esa build contenía código malicioso. Tercero, Cursor lo reconoce públicamente: su aviso de seguridad habla de una "Malicious Claude Code Extension" encontrada en su marketplace.

El matiz importante está en el alcance. El titular de DoublePulsar va más allá y describe el incidente como un caso en el que Anthropic habría sido hackeada para distribuir un troyano de acceso remoto (RAT, Remote Access Trojan, malware que da control remoto del equipo al atacante) a portátiles de developers de todo el mundo. Esa es la lectura más grave. En cambio, el aviso de Cursor sitúa el problema en su marketplace y una tercera pieza, de The AI News Report, explica la build 2.1.313 publicada en ese canal. Con el material disponible no podemos confirmar si el compromiso estuvo en la cadena de publicación de Anthropic, en la cuenta del publicador o en el propio marketplace.

La señal de interés de la comunidad también es un dato: 399 puntos para la pieza más alarmista frente a 12 para el aviso oficial de Cursor. El relato del "hackeo a Anthropic" se ha propagado mucho más que la nota del afectado directo, algo habitual en incidentes de cadena de suministro y que obliga a leer con calma.

Nuestra lectura: sea cual sea el origen exacto, el riesgo práctico para ti es el mismo. Si tuviste instalada la 2.1.313 desde el marketplace de Cursor, trátalo como un incidente de seguridad, no como un bug.

¿Qué significa el backdoor de Claude Code para los builders?

Claude Code no es una extensión cualquiera. Como explicamos al desmontar el stack real de un agente de código, estas herramientas ejecutan comandos de shell, leen y escriben ficheros y manejan credenciales para hablar con la API. Un backdoor dentro de ese proceso hereda todo ese acceso de forma legítima a ojos del sistema operativo.

Las implicaciones para el flujo de trabajo diario son tres:

• Superficie de credenciales: claves de API de Anthropic, tokens de GitHub, credenciales de nube en ~/.aws o ficheros .env del repositorio quedan al alcance de cualquier código que corra en la extensión.
• Confianza en marketplaces alternativos: Cursor es un fork de VS Code con su propio canal de extensiones. Cada canal adicional es otra cadena de suministro que auditar.
• Auto-actualización: la comodidad de recibir versiones nuevas sin intervención es exactamente lo que convierte una build maliciosa en un problema masivo.

Por eso cobra sentido aislar al agente. Proyectos como correr Claude Code dentro de un contenedor aislado reducen el daño potencial: si el proceso está comprometido, solo ve lo que el sandbox le deja ver. No es una solución universal, pero cambia el radio de impacto de "toda mi máquina" a "este directorio".

Nuestra lectura: el incidente refuerza una idea que ya circulaba entre equipos maduros: los agentes de código deben tratarse como dependencias de alto privilegio, con el mismo rigor que una librería en producción.

Cómo comprobar si estás afectado y empezar a mitigar

Las fuentes no publican, en lo que hemos podido verificar, un listado de indicadores de compromiso que podamos reproducir aquí, así que prioriza el aviso oficial de Cursor para los detalles técnicos. Mientras tanto, estos pasos son práctica estándar de respuesta ante una extensión maliciosa:

1. Identifica la versión instalada. Desde el terminal, lista extensiones con versión:
   cursor --list-extensions --show-versions | grep -i claude
   Si aparece la 2.1.313, continúa con los siguientes pasos.
2. Desinstala y desactiva la auto-actualización de extensiones hasta que Cursor y Anthropic confirmen una versión limpia.
3. Rota credenciales: claves de la API de Anthropic desde la consola, tokens personales de GitHub o GitLab, claves SSH y credenciales cloud que estuvieran accesibles desde ese equipo.
4. Revisa actividad anómala: commits no reconocidos, procesos persistentes desconocidos, tareas programadas o conexiones salientes inusuales.
5. Escala si es un portátil corporativo: avisa a tu equipo de seguridad. En empresas sujetas al RGPD en España o a normativas locales de protección de datos en México, Colombia, Argentina o Chile, un acceso remoto no autorizado puede tener obligaciones de notificación si hay datos personales en juego.

A medio plazo, conviene fijar versiones de extensiones en equipos de desarrollo, documentar qué marketplaces están permitidos y añadir guardrails para el código que genera la IA antes de que llegue a producción. Si tu equipo está adoptando agentes de código en serio, merece la pena aprender a trabajar con Claude Code de forma segura y no solo productiva: permisos, aislamiento y revisión forman parte del oficio.

Nuestra lectura: rotar credenciales cuesta una tarde; no hacerlo puede costar un repositorio o una cuenta cloud. Ante la duda, rota.

Conclusión: la cadena de suministro ya incluye a tu agente

El caso de la extensión Claude Code con backdoor en Cursor deja una lección que va más allá de una versión concreta: los agentes de código han pasado a ser objetivo prioritario porque concentran acceso al código, al terminal y a las credenciales. La discrepancia entre fuentes, "hackeo a Anthropic" frente a "extensión maliciosa en un marketplace", importa para atribuir responsabilidades, pero no cambia lo que debes hacer hoy. El insight que vemos es que la ventaja competitiva de adoptar agentes pronto solo se mantiene si se adoptan con controles: versiones fijadas, sandbox y rotación de secretos como rutina, no como reacción. Sigue el aviso de Cursor para actualizaciones y revisa tu instalación de Claude Code 2.1.313 hoy mismo.

Comparte este artículo si te fue útil.