Tu editor de código es la puerta trasera: la extensión falsa de Claude Code, Open VSX y Apple con Qwen

Instalaste la extensión «oficial» de tu asistente de IA y acabas de regalarle una llave SSH a un desconocido. No hizo falta que escribieras una sola línea de código ni que abrieras una conversación con el modelo.

Y lo más divertido es que la IA no tuvo nada que ver. El problema fue el sitio de donde la descargaste.

Extensión falsa de Claude Code en Open VSX: qué pasó exactamente

Investigadores de la firma de seguridad Phorion encontraron una versión manipulada de la extensión de Claude Code, la 2.1.313, publicada en Open VSX, el mercado de extensiones del Eclipse Foundation. Es la tienda que usan editores como Cursor o Windsurf, porque el Marketplace oficial de Microsoft les está vetado por sus términos de uso. En el Marketplace de Microsoft no se ha reportado ninguna versión maliciosa.

No fue un lanzamiento de Anthropic: alguien reempaquetó la extensión legítima y le pegó código malicioso al principio del archivo principal. Según el análisis publicado, el código se ejecuta en cuanto Node carga el módulo, antes incluso de que la extensión arranque. No hay que hacer clic en nada.

Lo que hace después es de manual de película de espías:

• Añade la clave SSH del atacante a tu archivo de claves autorizadas.
• Abre una conexión SSH saliente hacia su servidor y deja un túnel que sigue vivo aunque cierres el editor, reintentando cada minuto.
• Se instala para sobrevivir al reinicio: archivo de arranque en Mac, cron en Linux, tarea programada en Windows.
• Reporta tu usuario, tu email de Git, tu IP y los nombres de hasta 40 variables de entorno que parezcan claves, tokens o credenciales de AWS y GCP.

Los valores no salen de tu máquina, pero el atacante recibe un inventario de qué equipos guardan secretos jugosos. Es como si el ladrón te dejara una nota diciendo en qué cajón están las joyas.

El problema de fondo: confiamos en el nombre, no en el origen

La grieta no es Claude. Es que el desarrollador moderno instala código ajeno con los permisos de su usuario cada día y lo hace sin pestañear. Una extensión de editor no está en ninguna sandbox: es un programa de Node con acceso a tu disco, tus claves y tu red.

Súmale que los asistentes de IA piden cada vez más permisos, que tu portátil de trabajo tiene acceso a producción y que nadie revisa el changelog de una actualización automática. El resultado es un blanco perfecto.

Y no es un caso aislado: esta misma semana otra empresa, Chainalysis, admitió haber sido vulnerada con lo que describe como «técnicas ofensivas con agentes». Los atacantes también usan IA. Con menos escrúpulos y más horas libres que tú.

El giro que nadie esperaba: mientras todos miran al modelo, el riesgo está en el enchufe

Fíjate en el contraste de esta semana. Apple anunció que Qwen, el modelo de Alibaba, será el motor de Apple Intelligence en China: Siri, herramientas de escritura y visión. Los desarrolladores podrán probarlo desde el 4 de noviembre y llegará a usuarios con iOS 27.3 en diciembre. Alibaba asegura que no usará las consultas de los usuarios para entrenar.

Y un análisis de Reuters sostiene que un modelo chino barato está alcanzando a Anthropic y OpenAI en su propio terreno. Un experimento con cinco instancias pequeñas de Qwen3.8-27B coordinadas por archivos dice igualar a Claude Fable 5 en LiveCodeBench Hard por unos 36 dólares. Habrá que verificar ese resultado, pero la dirección es clara: la inteligencia se está abaratando a toda velocidad.

Entonces, ¿dónde está el valor? No en el modelo, que cada semana es más intercambiable. Está en la confianza: quién te lo entrega, por dónde llega y qué permisos tiene. Apple entiende esto, por eso se ata a contratos y a regulación local. Tu editor, en cambio, instala lo que sea con un clic.

Qué significa para desarrolladores y freelancers: checklist de seguridad para hoy

Si usas Cursor, Windsurf o cualquier editor basado en Open VSX, haz esto antes de empezar la semana:

1. Revisa tu versión de la extensión de Claude Code. Si tuviste la 2.1.313, trátala como un compromiso real, no como un susto.
2. Mira tu archivo ~/.ssh/authorized_keys y borra cualquier clave que no reconozcas. Revisa también cron, tareas programadas y procesos SSH salientes raros.
3. Rota las claves y tokens de las máquinas afectadas. Los nombres de tus variables de entorno ya podrían estar en manos ajenas.
4. Desactiva las actualizaciones automáticas de extensiones en equipos con acceso a producción y fija versiones.
5. Separa el entorno. Un portátil con IA instalando cosas no debería tener las llaves de todos tus clientes.

Y si trabajas con clientes, esto es un argumento de venta: quien cuida su cadena de suministro vale más que quien solo sabe pedirle código a un chatbot.

¿Tienes un equipo, una app o una web donde necesitas a alguien que use la IA sin abrirle la puerta a cualquiera? Escríbeme desde la página de contacto y lo revisamos juntos, sin vendehumos. Soy desarrollador freelance, no una agencia: hablas conmigo y trabajo contigo.