Вредоносные расширения Anthropic Claude попали на тысячи устройств разработчиков, однако ошибка в самом вредоносе не дала ему расползтись дальше.
Расширения Anthropic Claude оказались идеальным троянским конём. Через заражённые пакеты злоумышленники добрались примерно до 5000 машин разработчиков — и это только те, что удалось посчитать. Спасла ситуацию не бдительная служба безопасности и не хитрый антивирус, а обычная криворукость автора атаки. В коде вредоноса оказался дефект, который не дал ему отрасти до полноценного червя и уползти дальше по сети.
Схема стара как мир: подсунуть сообществу расширение с полезной функцией, а внутри спрятать полезную нагрузку. Только вот на этот раз полезная нагрузка сломалась на полпути. Код исполнялся, устройства заражались, но размножаться и закрепляться как следует вредонос не смог. Пять тысяч скомпрометированных машин — цифра неприятная, но могло быть куда хуже.
Что вообще произошло
Атака на цепочку поставок — это когда бьют не по конкретной жертве, а по инструменту, которым жертва пользуется. Расширения для работы с Anthropic Claude в этом смысле лакомый кусок: их ставят себе разработчики, у которых на машинах лежат доступы к репозиториям, облакам и, конечно, Anthropic Claude Api Key. Один такой ключ в чужих руках — и можно жечь токены на чужой счёт, тянуть данные или прикидываться вашим ботом перед коллегами.
По данным разбора инцидента, атакующие зарегистрировали пакеты с именами, похожими на официальные, и выложили их в публичные каталоги. Классика жанра: пользователь ставит то, что выглядит знакомо, а внутрь уже зашит лишний функционал. Дальше дело техники — собрать как можно больше установок, пока пакет не прикрыли.
Кривой код как последняя линия обороны
Самое смешное в этой истории — вредонос спас жертв от самого себя. В коде заражённого расширения оказался дефект, из-за которого механизм распространения работал через раз. Вместо аккуратного червя, который тихо перебирается с машины на машину, получился неуклюжий скрипт, который то срабатывал, то падал. Разработчики, изучавшие инцидент, прямо говорят: повезло. Не было бы этой ошибки — масштаб был бы совсем другим.
Отдельный вопрос — как вообще такое расширение оказалось в каталоге. Модерация пакетов в публичных реестрах давно превратилась в игру в догонялки: злоумышленники публикуют, модераторы удаляют, злоумышленники публикуют снова под новым именем. Пока одни проверяют, другие уже качают. И это не проблема конкретно Anthropic Claude — это проблема всей экосистемы расширений.
Почему это касается не только разработчиков
Расширения для ИИ-ассистентов сегодня ставят не только программисты. Их тянут аналитики, копирайтеры, менеджеры — все, кто хочет прикрутить к Anthropic Claude лишнюю кнопку. И у большинства из них на машине лежит что-нибудь ценное: переписка, доступы к внутренним системам, токены. Пакет с доменом com.anthropic.claude в названии вызывает доверие просто потому, что выглядит официально, а проверять подпись и источник никто не бежит.
Хорошая новость в том, что схема сработала не до конца. Плохая — в том, что пять тысяч машин это уже не «пара инцидентов», а полноценная кампания. И да, вполне вероятно, что часть заражённых устройств так и не вычистили: расширение удалили, а хвосты остались.
Что делать прямо сейчас
Первым делом — пройтись по списку установленных расширений и снести всё, что не из официального источника. Проверить, не светились ли ваши Anthropic Claude API-ключи в логах и не крутятся ли на счету подозрительные запросы. Ключи, которые вызывают хоть малейшие сомнения, лучше отозвать и выпустить заново — это пять минут работы против недель разгребания последствий.
Дальше — базовые правила гигиены. Не ставить пакеты по первой ссылке из чата, проверять автора и историю публикаций, не хранить боевые ключи в открытом виде. Скучно? Да. Но именно скучные вещи спасают, когда очередной «полезный плагин» оказывается не тем, чем прикидывался.
Инцидент с Anthropic Claude — напоминание, что ИИ-инструменты давно перестали быть игрушкой для энтузиастов. Они сидят в рабочем процессе, держат в руках доступы и потому становятся мишенью. Хорошо, что на этот раз атаку остановила случайность. Плохо, что рассчитывать на такую же случайность в следующий раз не стоит.