Bezpečnost rozšíření VS Code a Cursoru: 7 kroků

Bezpečnost rozšíření VS Code a Cursoru jsi možná dosud řešil jen tak, že jsi klikl na „Install" u věci s nejvíc hvězdičkami. Ve čtvrtek 29. října 2026 to přestalo stačit: v marketplace editoru Cursor se asi na 11 hodin objevila upravená verze rozšíření Anthropic.claude-code, která se pokoušela nainstalovat trvalá SSH zadní vrátka. Tenhle článek není zpráva o incidentu. Je to praktický checklist: jak za 10 minut zjistíš, jestli ses mohl nakazit, a jak si nastavit editor tak, aby ti příští podobný útok neprošel.

01Co se 29. října stalo (stručně a ověřeně)

Podle bezpečnostního oznámení Cursoru z 29. 10. 2026 byly mezi 2:27 a 13:35 pacifického času dostupné verze 2.1.312 a 2.1.313 rozšíření Anthropic.claude-code pro Windows a macOS. Nevytvořil je Anthropic. Škodlivý kód se po načtení rozšíření pokusil:

• sebrat údaje o počítači (hostname, uživatelské jméno, OS, domovský adresář, jména proměnných prostředí, e-mail z Gitu, veřejnou IP),
• přidat útočníkův SSH klíč do souboru authorized_keys,
• zapnout lokální SSH službu a otevřít reverzní tunel,
• zajistit perzistenci přes LaunchAgent (macOS) nebo naplánovanou úlohu (Windows).

Cursor odhaduje, že mohlo být zasaženo až 5 000 uživatelů. Důležité je, co to neznamená: analýza Microsoft Threat Intelligence z 30. 10. 2026 potvrzuje, že škodlivé balíčky nebyly na Microsoft Visual Studio Marketplace ani v npm balíčku @anthropic-ai/claude-code. Problém byl omezený na marketplace Cursoru. Nemusíš tedy přestat používat Claude Code, ale zdroj instalace si ověřit musíš.

Podle Cursoru kvůli chybám v útočném kódu krok se zapnutím SSH služby na většině počítačů selhal, protože vyžaduje práva správce. Klíč, soubory pro perzistenci a odeslání údajů ale proběhnout mohly i tak. Proto platí: pokud jsi tu verzi měl, kontroluj.

02Krok 1: Zjisti, jestli jsi byl mezi zasaženými

Otevři v editoru (Cursor i VS Code) seznam rozšíření a podívej se na Claude Code. Zajímá tě, odkud a kdy se nainstaloval nebo aktualizoval. Dotčené jsou jen instalace nebo aktualizace z marketplace Cursoru na Windows a macOS v uvedeném okně.

Pak spusť kontrolu, kterou zveřejnil Cursor. Na macOS v terminálu:

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

Na Windows ve stejném duchu (PowerShell) prohledáš authorized_keys v uživatelském profilu a v C:\ProgramData\ssh\. Přesný skript najdeš v oznámení Cursoru. Útočníkův klíč je označený svc-telemetry. Když ho nenajdeš, tvůj počítač podle Cursoru zasažený není.

Pozor Pouhé odinstalování rozšíření nestačí. Cursor výslovně uvádí, že payload zapisuje samostatné skripty, které běží dál.

03Krok 2: Co dělat, když klíč najdeš

Nepanikař, ale jednej v tomhle pořadí:

1. Izoluj počítač od sítě (a od firemní VPN).
2. Zachovej důkazy, pokud jde o firemní stroj. Napiš to bezpečáku dřív, než začneš uklízet.
3. Odstraň klíč, perzistenci a běžící tunel. Cursor k tomu publikoval skripty pro macOS i Windows.
4. Zvaž přeinstalování počítače, pokud jde o stroj s přístupem k produkci.
5. Změň hesla, tokeny a klíče (GitHub, cloud, registry balíčků), ale z jiného, důvěryhodného zařízení.

Rotace z nakaženého počítače nemá smysl: kdyby někdo seděl na tunelu, uvidí nové klíče stejně jako ty staré.

04Krok 3: Vypni automatické aktualizace rozšíření

Celý útok stál na tom, že se škodlivá verze sama doručila jako aktualizace. V nastavení editoru vypni automatické aktualizace rozšíření (extensions.autoUpdate) a nové verze potvrzuj ručně. Ano, je to o minutu práce týdně víc. Výměnou dostaneš okno, ve kterém se o problému stihne napsat, než ho nainstaluješ.

U rozšíření, která mají přístup k terminálu a repozitářům (a AI agent v editoru je přesně takové), je tohle nejlevnější obrana.

05Krok 4: Ověř vydavatele a zdroj, ne počet instalací

Než nainstaluješ nové AI rozšíření, projdi tři věci:

• Vydavatel: sedí ID rozšíření s oficiální dokumentací nástroje? Pro Claude Code je to Anthropic.claude-code. Útok se tvářil přesně takhle, takže samotné jméno nestačí.
• Zdroj: instalovat z oficiálního Visual Studio Marketplace, nebo z alternativního (Open VSX, marketplace Cursoru)? Alternativní tržiště mívají slabší kontrolu publikace. Podle Microsoftu oficiální balíčky incidentem zasažené nebyly.
• Verze a datum: nová verze vydaná nepřirozeně v noci, bez poznámek k vydání, je důvod počkat.

Tutéž logiku jsme rozebírali u falešných MCP serverů: AI nástroj, který má přístup k tvému stroji, ověřuješ jako závislost v produkci, ne jako zábavný doplněk.

06Krok 5: Omez, co může AI rozšíření vidět

Rozšíření v editoru běží s právy tvého uživatele. Škodlivý kód z 29. října proto mohl číst proměnné prostředí a zapisovat do domovského adresáře. Zmenši škody předem:

• Nedrž tajné klíče v proměnných prostředí celého uživatelského účtu. Podle Microsoftu útočný kód cíleně hledal názvy obsahující KEY, TOKEN, SECRET, PASS, AWS nebo GCP. Posílal jen názvy, ne hodnoty, ale názvy ti říkají, co všechno tam máš.
• Použij správce tajemství nebo gateway, aby AI agent klíče nikdy neviděl. Jak na to, popisuje článek o credential gateway pro AI agenty.
• Pracuj s citlivými projekty v samostatném profilu editoru nebo na samostatném uživatelském účtu bez SSH klíčů k produkci.
• Nepouštěj editor jako správce. Právě to rozhodlo o tom, že se většině lidí tunel nepodařilo otevřít.

07Krok 6: Zapni důvěru ve workspace a minimum rozšíření

VS Code umí Workspace Trust: neznámé složky otevře v omezeném režimu, kde se nespouští kód z projektu. Nech ho zapnutý a neklikej reflexivně na „Trust". Cursor jako fork VS Code funguje obdobně.

Druhá polovina kroku je nudná, ale účinná: projdi seznam rozšíření a odinstaluj všechno, co dva měsíce nepoužíváš. Každé rozšíření je další cesta, kterou může útočník dorazit do tvého stroje. Pokud ti stačí Cursor s jeho vestavěnými funkcemi, nepřidávej k němu desítky doplňků.

08Krok 7: Přidej rozšíření do pravidelného auditu AI nástrojů

Jednorázová kontrola nestačí. Přidej si do měsíčního rituálu otázku „co všechno má přístup k mému kódu?":

• seznam rozšíření v editoru a jejich verze,
• MCP servery a pluginy v konfiguraci AI agentů,
• tokeny uložené na disku (~/.ssh, ~/.aws, .env),
• záznamy o poslední aktualizaci.

Hotový postup se sedmi kontrolami najdeš v článku Jak auditovat bezpečnost AI agentů. Pro týmy navíc stojí za to vést seznam schválených rozšíření, aby si každý nestahoval, co ho napadne.

09Příklad z praxe: jak vypadá instalace nového AI rozšíření

Aby to nezůstalo jen u seznamu, tady je postup, který používám já, když chci do editoru přidat nové AI rozšíření. Zabere to pět minut a zachytí většinu problémů.

1. Najdi oficiální odkaz na rozšíření v dokumentaci nástroje, ne ve vyhledávači. Dokumentace dává přesné ID vydavatele a rozšíření, které můžeš porovnat s tím, co vidíš v editoru.
2. Otevři stránku rozšíření a zkontroluj historii verzí. Pokud rozšíření existuje roky a najednou má dvě verze během jednoho dne, jde o signál ke zpomalení.
3. Nainstaluj ho nejdřív v samostatném profilu editoru, kde nemáš otevřený žádný firemní projekt. Pár dní ho používej a sleduj, jestli nevolá divné adresy.
4. Podívej se, co běží na pozadí. Po instalaci projdi seznam procesů a naplánované úlohy. Škodlivý kód z 29. října vytvářel LaunchAgent nebo naplánovanou úlohu, takže nové záznamy tam jsou dobře vidět.
5. Teprve potom ho přidej do hlavního profilu a automatické aktualizace nech vypnuté.

Tip Pokud pracuješ v týmu, dej tenhle postup do wiki jako „Jak přidat rozšíření do editoru". Nejčastěji se bezpečnost rozbije ne útokem, ale tím, že si každý stáhne něco jiného a nikdo neví co.

10Jak to souvisí s dalšími riziky AI nástrojů

Rozšíření v editoru jsou jen jedna z cest, kterými se k tvému počítači dostane cizí kód. Druhá velká jsou MCP servery a pluginy, které AI agentovi dáváš do ruky. Třetí jsou pravidla a konfigurační soubory v repozitáři, které agent čte jako instrukce. Princip je pokaždé stejný: cokoliv, co agent nebo editor načte a spustí, má stejná práva jako ty. Zdroj ověřuj podle toho, co všechno nástroj uvidí, ne podle toho, jak vypadá jeho stránka.

Praktické pravidlo na závěr: čím víc práv nástroj má (terminál, soubory, síť), tím pomaleji mu věř. Nové rozšíření, které umí jen obarvit závorky, riskuje málo. Rozšíření, které umí spouštět příkazy, se chová jako nový kolega s plným přístupem k tvému notebooku, a tak by ses k němu měl i chovat.

11Co se z incidentu dá vzít pro praxi

Dva poučné detaily. Zaprvé, podle Microsoftu rozšíření po zavedení škodlivého kódu normálně fungovalo dál, takže jsi nic nepoznal. Zadruhé, útok nepotřeboval žádnou chybu v AI modelu. Stačil distribuční kanál, kterému jsi důvěřoval. Tohle je čistě problém dodavatelského řetězce, ne problém „bezpečnosti AI".

Pro tebe to znamená jednoduché pravidlo: AI editor a jeho rozšíření patří mezi nejcitlivější software na tvém počítači, protože čtou kód, spouštějí příkazy a mají tvoje klíče na dosah. Zacházej s nimi jako s nástrojem pro správu serverů. Nástroje, jako je Cursor nebo Claude Code, jsou pořád rozumná volba, jen s trochou hygieny navíc.

12Časté otázky