Gli agent di coding firmati nascondono tunnel e persistenza su macOS
Gli alert basati sulla provenienza non bastano più quando un agente di coding firmato avvia shell che fanno il lavoro sporco al suo posto. Il parent sembra legittimo, ma i processi figli possono aprire reverse tunnel, installare persistenza e far transitare credenziali: proprio il tipo di comportamento che un triage fondato solo sul processo padre tende a sottostimare.
Elastic Security Labs mostra su macOS attività sotto Claude Code e Cursor con shell che aprono un tunnel esterno, raccolgono metriche e installano LaunchAgent persistence. Le telemetrie di endpoint hanno anche visto credenziali sulla rete e pattern compatibili con tunnel provider noti, segno che strumenti firmati e usati su laptop di sviluppo possono dare accesso remoto e persistenza senza somigliare al malware classico.
Per chi ammette questi agent sulle workstation degli sviluppatori, il rischio non è il nome dell’app ma la fiducia eccessiva nel parent process: la superficie reale si sposta sui figli, sulla rete e sui token che passano da lì.