AI codeertools veilig gebruiken: drie vragen voor je bouwer

Of je code en wachtwoorden veilig zijn, weet je pas als je bouwer drie dingen kan uitleggen: welke extensies er in zijn editor draaien, waar jouw wachtwoorden en sleutels staan, en wat hij doet als een extensie besmet blijkt. Het grootste risico van AI-codeertools zit in die extensies en plugins. Ze draaien met dezelfde rechten als de ontwikkelaar en kunnen bij je broncode en sleutels. Een verbod op AI verandert daar weinig aan, die drie vragen wel.

Wat er op 30 oktober 2026 gebeurde

Beveiligingsbedrijf Phorion meldde op 30 oktober 2026 een achterdeur in de officiële extensie Claude Code for VS Code, zoals die werd aangeboden via de Cursor Marketplace. Cursor is een code-editor, en in de Cursor Marketplace haal je extensies voor die editor op. Het ging om versie 2.1.312 en 2.1.313. Volgens de beveiligingsmelding van Cursor waren die versies voor macOS en Windows getroffen. Cursor heeft beide versies uit de marketplace gehaald.

De kwaadaardige code in de extensie startte zodra de editor het bestand laadde, dus ook als de ontwikkelaar nergens op klikte. De code zette een sleutel op de computer waarmee de aanvaller kon inloggen, en opende een verbinding naar een server van de aanvaller. Die verbinding bleef draaien als de editor dicht was en kwam terug na een herstart.

De code stuurde de aanvaller ook een rapportje: computernaam, gebruikersnaam, het e-mailadres van de ontwikkelaar in Git, het publieke IP-adres en de namen van maximaal 40 omgevingsvariabelen met woorden als KEY, TOKEN, SECRET, PASS, AWS of GCP erin. Volgens Phorion gingen alleen de namen mee en niet de waarden zelf. De aanvaller kreeg zo wel een lijstje van welke sleutels en wachtwoorden er op die machine stonden, en dus welke computers het eerst interessant waren.

Op een Mac zat er een fout in de kwaadaardige code. Stond inloggen op afstand uit, dan werkte de route naar binnen meestal niet. Phorion zegt er duidelijk bij dat je daar niet op moet vertrouwen: zet iemand inloggen op afstand later aan, dan ligt de achterdeur klaar.

Waarom zijn extensies het grootste risico van AI-codeertools?

Extensies in een code-editor draaien met de rechten van de editor en van de gebruiker. Phorion schrijft dat een besmette extensie daardoor direct toegang heeft tot lokale bestanden, broncode en de rest van het gereedschap van de ontwikkelaar, en daarmee tot alles waarmee een bouwer jouw software maakt.

Het AI-model speelde bij dit incident geen rol. Het probleem zat in het pakketje eromheen. De rest van de extensie zag er volgens Phorion uit als de gewone versie, met een stuk code ervoor geplakt. En het ging om de officiële extensie met de juiste naam, dus "alleen bekende extensies installeren" had hier niet geholpen.

Werkt jouw bouwer op een laptop met de sleutels van je webshop, je boekhoudkoppeling of je database, dan kon zo'n extensie daarbij. Werkt hij voor meerdere klanten, dan staan die sleutels vaak naast elkaar op dezelfde machine. Als wij als bouwer zo'n melding zien, vragen we eerst: welke sleutels lagen er op die computer, en welke kun je vandaag vervangen? Code kun je later nog nalopen, maar een uitgelekte sleutel blijft werken tot iemand hem intrekt.

Eerder schreven we over hetzelfde soort risico bij een AI-agent die op je pc mag klikken. Ook daar komt het neer op welke rechten je weggeeft.

Moet ik mijn bouwer AI-codeertools dan verbieden?

Nee. Een verbod op AI raakt alleen de AI-extensies, terwijl elke extensie in een editor met dezelfde rechten draait. Je kunt ook niet controleren of het verbod wordt nageleefd. Je hebt meer aan afspraken die je wel kunt controleren.

Optie	Wat het oplevert	Wanneer het past
AI-codeertools verbieden	Minder extensies, maar het risico van andere extensies blijft	Zelden. Hooguit als tussenstap zolang je bouwer geen afspraken over extensies wil maken
Niets doen	Geen moeite, en je weet niet waar je sleutels staan	Als je bouwer geen toegang heeft tot je systemen of klantdata
Drie vragen stellen en afspraken vastleggen	Je weet wat er draait, waar sleutels staan en wanneer je iets hoort	Voor iedereen die software laat bouwen of onderhouden

Welke drie vragen stel je je bouwer?

1. Welke extensies en plugins draaien er in je editor, waar komen ze vandaan en wie houdt bij wanneer ze worden bijgewerkt? Vraag er nu meteen bij of hij Claude Code for VS Code versie 2.1.312 of 2.1.313 via de Cursor Marketplace heeft gehad.
2. Waar staan de wachtwoorden en sleutels voor mijn systemen, en kun je ze vandaag intrekken en vervangen? Een goed antwoord is een lijst: welke sleutel, waarvoor, met welke rechten en op welke machines. De besmette extensie zocht juist naar de namen van zulke sleutels.
3. Wat doe je als een extensie besmet blijkt, en wanneer hoor ik het van je? Phorion adviseert organisaties om te controleren of de getroffen versies zijn gebruikt en in dat geval een incidentonderzoek te starten. Jij wilt weten dat je bouwer dat doet, en binnen welke termijn hij het je laat weten.

Hoe controleer je wat je bouwer antwoordt?

De laptop van je bouwer kun je niet zelf nakijken. Je kunt wel om bewijs vragen dat je zelf kunt lezen.

Wat je wilt weten	Hoe je het controleert
Of de besmette versie is gebruikt	Vraag een schriftelijke bevestiging van de geïnstalleerde versies op elke machine die aan jouw project werkte
Welke extensies er draaien	Vraag de lijst. Kan je bouwer die niet geven, dan houdt hij het niet bij
Waar je sleutels staan	Vraag het overzicht van sleutels voor jouw systemen en laat er als test één vervangen
Of de computer is nagekeken	Vraag welke bestanden zijn gecontroleerd. Phorion noemt onder meer ~/.ssh/authorized_keys en op een Mac ~/Library/LaunchAgents/com.apple.sysmond.plist
Hoe snel je iets hoort	Leg een meldtermijn vast in de opdracht of de verwerkersovereenkomst

Voor wie is dit relevant, en wat kost het?

De drie vragen gelden voor iedereen die software laat bouwen of onderhouden door een freelancer of bureau dat bij de code, de servers of klantgegevens kan. Denk aan een groothandel met een eigen orderportaal of een installatiebedrijf met een koppeling tussen planning en boekhouding. Gebruik je alleen kant-en-klare software waar geen externe bouwer aan zit, dan speelt dit voor jou veel minder.

Een vast bedrag kunnen we niet noemen. De vragen stellen kost je een mail. Voor je bouwer kosten een extensielijst en een sleuteloverzicht vooral tijd. Is de besmette versie gebruikt, dan hangen de kosten af van hoeveel sleutels vervangen moeten worden en of er een incidentonderzoek nodig is.

Konden er klantgegevens bij op die computer, dan kan het om een datalek gaan. Of je dat moet melden, lees je bij de Autoriteit Persoonsgegevens. Dit is geen juridisch advies; vraag het bij twijfel aan iemand die je situatie kent. Hoe je verder handelt bij een lek, beschreven we bij het PHP-lek in websites.

Wil je weten welke systemen en koppelingen in jouw bedrijf eigenlijk aan zulke sleutels hangen, dan zoeken we dat uit in de kansenscan van € 495.

Veelgestelde vragen

Mijn bouwer gebruikt geen Cursor. Ben ik dan veilig?

Voor dit ene incident wel, voor zover nu bekend: het ging om de versies uit de Cursor Marketplace. Het probleem zelf is breder. Elke extensie in een code-editor draait met de rechten van de gebruiker, dus de drie vragen gelden ook voor andere editors.

Kan ik zelf zien of mijn bouwer getroffen is?

Nee, daarvoor heb je toegang tot zijn computer nodig, dus je bent afhankelijk van wat hij je vertelt. Een vaag "nee hoor" is te weinig. Vraag welke versies hij had en welke bestanden hij heeft nagekeken, en laat hem dat op papier zetten.

Moet ik nu al mijn wachtwoorden vervangen?

Had je bouwer versie 2.1.312 of 2.1.313 via de Cursor Marketplace, dan zouden wij de sleutels vervangen die op die machine stonden. De aanvaller kreeg weliswaar alleen namen door, maar via de achterdeur kon hij mogelijk ook inloggen. Had je bouwer die versies niet, dan is vervangen niet nodig. Het overzicht van je sleutels is dan nog steeds handig voor de volgende keer.

Is het AI-model zelf dan onveilig?

Daar zegt de melding van Phorion niets over. De kwaadaardige code zat in het extensiepakket, als een stuk dat voor de gewone code was geplakt. Je kunt dus beter kijken welke extensies je bouwer installeert dan welk AI-model hij gebruikt.