إضافة Claude Code الخبيثة في Cursor: هل جهازك معرض للخطر وكيف تحميه؟

إضافة Claude Code الخبيثة في Cursor: ماذا حدث؟

في 29 أكتوبر 2026، أثارت حادثة أمنية في متجر إضافات محرر البرمجة Cursor مخاوف المطورين، بعدما ظهرت نسخ خبيثة من إضافة Claude Code تحتوي على شيفرة تحاول فتح وصول غير مصرح به إلى أجهزة المستخدمين.

لم يكن الأمر اختراقًا مثبتًا لنموذج Claude نفسه، بل حادثة مرتبطة بقناة توزيع الإضافة. وتكمن خطورتها في أن بعض الآثار الخبيثة قد تستمر حتى بعد حذف الإضافة أو تحديثها.

ما الإصدارات التي ينبغي الانتباه إليها؟ وكيف تعمل الشيفرة الخبيثة؟ وما الخطوات العملية التي تساعد على فحص الجهاز؟ هذا ما نشرحه في فضاء الذكاء الاصطناعي FADA2 AI.

ما الذي نعرفه عن الحادثة؟

أبلغت Cursor عن وجود حزم معدّلة من إضافة Anthropic Claude Code داخل متجر إضافاتها يوم 29 أكتوبر 2026. وارتبطت الحادثة بالإصدارين 2.1.312 و2.1.313 على Windows وmacOS، ضمن فترة توزيع محدودة امتدت نحو 11 ساعة، بحسب الإفصاح الأمني المنشور.

الإصدارات والأنظمة المتأثرة

وفقًا للتحليلات المنشورة، لا يوجد ما يثبت أن الحزم الخبيثة المعروفة وُزعت عبر متجر Visual Studio Marketplace الرسمي أو حزمة Claude Code الرسمية على npm. ويجب عدم الخلط بين حادثة متجر Cursor وبين اختراق مباشر لأنظمة Anthropic.

كيف كانت تعمل الإضافة الخبيثة؟

1. جمع معلومات أولية عن الجهاز

تضمنت الشيفرة محاولات لجمع معلومات تساعد المهاجم على التعرف إلى البيئة المستهدفة، مثل اسم الجهاز والمستخدم ونظام التشغيل وبعض إعدادات التطوير. ولا يجوز مساواة جمع هذه المعلومات بإثبات سرقة كلمات المرور أو جميع مفاتيح API.

2. إضافة مفتاح SSH غير مصرح به

من أبرز مؤشرات الحادثة محاولة إدخال مفتاح وصول إلى ملفات SSH، مع استخدام العلامة svc-telemetry. وجود هذه العلامة قد يساعد في اكتشاف أثر محدد للهجوم.

3. محاولة إنشاء وصول مستمر

سعت الشيفرة إلى تشغيل خدمات أو مهام تتيح للمهاجم إعادة الاتصال لاحقًا، بما في ذلك محاولات إنشاء نفق SSH عكسي وآليات تشغيل تلقائي تختلف بحسب نظام التشغيل.

4. هل نجح الهجوم على جميع الأجهزة؟

لا. أشارت المعلومات المنشورة إلى أن أخطاء في الشيفرة ومتطلبات صلاحيات مرتفعة أعاقت بعض خطوات الهجوم على أجهزة كثيرة. لكن ذلك لا يسمح باستبعاد جميع الآثار المحتملة على كل جهاز ثُبّتت عليه الحزمة.

هل تعرّض آلاف المستخدمين للاختراق؟

تحدثت تقارير عن احتمال وصول الحزم المتأثرة إلى ما يصل إلى 5,000 مستخدم، لكن هذا الرقم لا يساوي عدد الأجهزة التي ثبت نجاح اختراقها. ينبغي التفريق بين التعرض المحتمل والإصابة المؤكدة وسرقة البيانات المثبتة.

كيف تفحص جهازك إذا كنت تستخدم Cursor؟

ابدأ بالسؤال الأهم: هل ثبّتّ أو حدّثت إضافة Claude Code من متجر Cursor خلال فترة الحادثة؟ إذا كان الجواب نعم، فافحص الجهاز بدل الاكتفاء برؤية إصدار أحدث في قائمة الإضافات.

1. راجع مصدر الإضافة وتوقيت تحديثها: تحقق من سجل التثبيت أو سجلات الجهاز إن كانت متاحة.
2. افحص مفاتيح SSH: ابحث عن العلامة svc-telemetry ضمن ملفات المفاتيح المصرح لها.
3. راجع التشغيل التلقائي والاتصالات: ابحث عن مهام أو خدمات أو اتصالات غير مألوفة، بمساعدة مسؤول أمن المعلومات عند الحاجة.
4. اتبع إرشادات Cursor الرسمية: استخدم أدوات المعالجة التي تنشرها الشركة، ولا تشغّل سكربتات من روابط مجهولة.

فحص أولي على macOS

افتح Terminal واستخدم الأمر التالي للبحث عن العلامة المذكورة داخل ملف مفاتيح SSH المعتاد:

grep -n "svc-telemetry" ~/.ssh/authorized_keys

فحص أولي على Windows

افتح PowerShell، وابحث في ملفات مفاتيح SSH الشائعة باستخدام:

$paths = @("$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys")
$paths | Where-Object { Test-Path $_ } | ForEach-Object { Select-String -Path $_ -Pattern "svc-telemetry" }

ماذا تفعل إذا ظهرت مؤشرات إصابة؟

1. أوقف استخدام الجهاز في المهام الحساسة، واعزله عن الشبكة إذا وجدت دلائل على باب خلفي نشط.
2. احتفظ بالسجلات والأدلة، خاصة إذا كان الجهاز تابعًا لشركة أو يحتوي على مشاريع عمل.
3. استعن بإرشادات المعالجة الرسمية لإزالة المفاتيح والمهام والملفات المرتبطة بالحادثة.
4. راجع كلمات المرور ومفاتيح الوصول، وألغِ الاعتمادات المعرضة للخطر من جهاز موثوق عند الحاجة.
5. تحقق من سلامة النظام مجددًا؛ وقد تتطلب الحالات المعقدة إعادة تهيئة الجهاز بعد حفظ الأدلة والبيانات السليمة.

كيف تعاملت Cursor مع الحادثة؟

أعلنت Cursor اتخاذ إجراءات لوقف توزيع الحزم الخبيثة ومراجعة أمن متجر الإضافات، إلى جانب توفير معلومات وإرشادات للمتأثرين. وتعطيل قناة الهجوم أو تحديث الإضافة خطوة مهمة، لكنه لا يزيل بالضرورة آثارًا سبق إنشاؤها داخل الأجهزة.

هل تعني الحادثة أن Claude Code غير آمن؟

لا يمكن استخلاص هذا الحكم من الواقعة وحدها. الحادثة تتعلق بحزم معدّلة وُزعت من قناة محددة، وليست دليلًا على اختراق النموذج نفسه أو جميع قنوات توزيع الأداة. الدرس الأوسع هو أن سلسلة توريد البرمجيات قد تصبح نقطة ضعف حتى عندما تحمل الإضافة اسم منتج معروف.

كيف تقلل مخاطر إضافات البرمجة مستقبلًا؟

1. ثبّت الإضافات من مصادر رسمية، وتحقق من اسم الناشر ورابطه.
2. استخدم أقل عدد من الإضافات الضرورية، وراجع الصلاحيات التي تحتاجها.
3. تجنب تشغيل محرر البرمجة بصلاحيات المسؤول دون ضرورة.
4. احمِ مفاتيح API وSSH، وقلّل صلاحياتها، وراجع سجلات استخدامها.
5. تابع التنبيهات الأمنية، خصوصًا عند صدور تحديثات غير معتادة أو بلاغات عاجلة.

الخلاصة

تكشف حادثة Claude Code في متجر Cursor خلال أكتوبر 2026 عن خطر قد يواجه مستخدمي أدوات التطوير: إضافة تحمل اسمًا موثوقًا قد تصل عبر قناة توزيع تعرضت للتلاعب. وتبقى الخطوة الأهم لمن ثبّت الإصدارات المتأثرة هي فحص الجهاز وآثار SSH والتشغيل التلقائي، لا مجرد تحديث الإضافة.

وفي الوقت نفسه، ينبغي تجنب العناوين المبالغ فيها: وجود حزم خبيثة لا يعني أن كل من استخدم Claude Code تعرض للاختراق.

الأسئلة الشائعة

المصادر والمراجع

• Cursor — البيان الأمني الرسمي حول إضافة Claude Code
• Microsoft Security — تحليل الإضافة الخبيثة والباب الخلفي SSH
• Sophos — تغطية وتحليل الحادثة