Cursor 市场现恶意 Claude Code 扩展：供应链投毒植入 SSH 后门，约 5000 名开发者中招

事件概述

2026 年 10 月 29 日，AI 代码编辑器 Cursor 披露了一起 VS Code 扩展市场安全事件：其扩展市场中出现了被恶意篡改的 Anthropic Claude Code 扩展版本——Anthropic.claude-code 2.1.312 与 2.1.313（面向 Windows 与 macOS 平台）。Cursor 明确说明，这些恶意版本并非 Anthropic 官方发布，而是攻击者在扩展市场分发链路中植入的投毒包，以官方扩展的名义诱导开发者安装。

受影响的时间窗口为太平洋时间 10 月 29 日凌晨 2:27 至下午 1:35（北京时间 17:27 至次日 04:35），约 11 个小时。据安全机构估算，在此期间暴露的开发者可能多达 5000 人。由于恶意代码在扩展初始化前就已执行，开发者甚至不需要启动任何 AI 对话即可触发，隐蔽性极强。

恶意扩展做了什么

被篡改的扩展在 2.1.313 版本中被注入了约 66 行恶意 JavaScript，其核心行为分为三类：

  • 信息收集与上报：收集主机名、用户名、操作系统、架构、主目录路径、环境变量名称、工作目录、已配置的 Git 邮箱以及公网 IP，并通过 HTTP POST 发往攻击者服务器。
  • 植入 SSH 后门：将攻击者控制的 SSH 公钥（注释标签为 svc-telemetry）追加到受害机的 authorized_keys，尝试启用本地 SSH 服务，并建立反向 SSH 隧道。由于恶意代码本身存在缺陷，除非 Cursor 以管理员权限启动（极为罕见），这一步通常会失败。
  • 持久化驻留：通过 macOS 的 LaunchAgent 或 Windows 的计划任务（尝试以 SYSTEM 身份运行）创建反向隧道，后台脚本大约每 60 秒重试一次，即使扩展被卸载，释放出的独立持久化脚本仍会继续运行。

危险在哪

这次事件属于典型的软件供应链投毒。最值得警惕的一点：仅卸载扩展并不足以清除后门，因为 payload 会释放独立的持久化脚本，在卸载后继续存活。一旦开发者工作终端被植入后门，攻击者便可能窃取源码、令牌与凭证，进而威胁上游的代码仓库与构建管线——这正是"高价值目标"的含义。

所幸攻击者的命令控制服务器（134.209.82.225）已被 Cursor 与托管商合作下线，反向 shell 与主机详情上报均已失效，但已添加的公钥、已安装的持久化机制以及已经发出的主机信息无法撤回，受影响主机仍需按规程处置。

Cursor 与开发者该怎么做

Cursor 在发现后采取了立即下架恶意版本、封锁分发、出于谨慎整体关停扩展市场、审计确认无其他扩展被篡改、轮换密钥并重建市场等动作。

对于可能受影响的开发者，官方与安天 CERT 给出的处置清单是：

  1. 核对扩展版本是否为 2.1.312 或 2.1.313；
  2. 检查 SSH 授权文件中是否存在注释为 svc-telemetry 的公钥；
  3. 运行官方修复脚本（macOS 用 remediate-macos.sh、Windows 用 remediate-windows.ps1）；
  4. 在受信任的系统上轮换受影响主机可访问的凭证与会话；
  5. 清理未授权 SSH 公钥、持久化机制与正在运行的隧道进程，必要时重建主机。

给 AI 编程工具用户的提醒

AI 编程助手正成为软件供应链的新攻击面。这次事件提醒所有使用 Cursor、Claude Code 等工具的开发者：只从官方渠道安装扩展、安装前核对版本号与哈希值、尽量以最小权限运行、并定期审计本机的 authorized_keys 与持久化项。开发者工作终端连接着代码仓库、云凭证与构建系统，任何一处被攻破的代价都远高于一次"方便的自动更新"。