- 周四，Cursor 从其应用市场中移除了两个被篡改的 Claude Code 扩展版本（2.1.312 和 2.1.313），因为发现它们会在 Windows 和 macOS 机器上安装 SSH 后门，最多影响了 5,000 名用户。
- Anthropic 并未创建这些恶意版本，且在没有管理员权限的情况下，SSH 步骤大多未能成功执行。
- AI 编码工具紧邻代码仓库、SSH 密钥和云凭据，这可能促使来源验证检查和最小权限访问成为企业采购的要求。
10 月 29 日，Cursor 从其应用市场中移除了一个被入侵的 Claude Code 扩展。此前研究人员发现，这些恶意扩展安装了 SSH 后门。估计有 5,000 名用户可能受到影响。该问题不涉及 Anthropic 的 AI 模型 Claude。相反，恶意软件是通过 Cursor 的扩展市场向开发者提供的。
两个被投毒的版本潜伏了十一个小时
Anthropic.claude-code 的两个被篡改版本（2.1.312 和 2.1.313）曾在 Cursor 的 Windows 和 macOS 应用市场中提供下载。根据 Cursor 的公告，这些恶意软件在 10 月 29 日上午 2:27 至下午 1:35（太平洋时间）期间上架，持续了约 11 小时。
Anthropic 并未创建任何恶意插件。OpenSourceMalware 对 2.1.313 版本进行了分析，发现官方 npm 包、Open VSX 列表以及 Microsoft VS Code 市场中的版本均未受影响。
在真实扩展之前插入的后门
攻击者在扩展的 JavaScript 文件开头隐藏了一个 66 行的加载器。这意味着恶意代码会在合法扩展之前运行。正如 OpenSourceMalware 所解释的那样：
用户无需启动 Claude 对话。加载扩展模块即可。
激活后，该代码能够收集有关计算机的信息以及其中存在的凭据类型。它还生成了 svc-telemetry SSH 密钥，并尝试向 134.209.82.225 建立反向隧道。同时，它通过 HTTP 使用端口 8099 发送了关于计算机的数据。
Cursor 声称，在没有管理员权限的情况下，SSH 尝试通常不成功。尽管如此，间谍软件密钥和持久化脚本仍可能保留在计算机上。该代码可继续收集和传输有关计算机的信息。
为什么卸载可能不够
Cursor 已移除恶意软件并暂时关闭了其应用市场。此外，Cursor 还检查了其他扩展程序，并与托管服务提供商合作，使攻击者的服务器下线。但这并不意味着受影响的计算机已经安全。Cursor 在其 安全指南 中警告称：
“仅卸载扩展可能不足——有效载荷会投放独立的持久化脚本，使其持续运行。”
这些持久化脚本的示例包括 macOS 上的 LaunchAgent 和 Windows 上的计划任务。Cursor 建议受影响的开发人员删除 svc-telemetry SSH 密钥，并运行公司的清理脚本。开发人员必须使用另一台受信任的设备来更改他们从受影响计算机可以访问的凭据。
为什么这符合 2026 模式
此次 Cursor 事件是更大规模问题的一部分。攻击者正越来越多地针对开发者使用且信任的工具。Cloud Security Alliance 报告了 TrapDoor 活动，该活动涉及超过 34 个恶意软件包，它们在 AI 助手配置文件中插入了隐藏指令。
与此同时，GlassWorm 活动利用休眠扩展程序针对开发者的凭据和加密钱包。Cryptopolitan此前曾报道过由 Socket识别出的73个此类扩展程序。
问题不仅限于扩展程序。Sonatype在2025年发现了超过454,600个新的恶意软件包。Cryptopolitan 也对其关于 被污染的npm库的发现进行了报道。这些是独立的攻击事件，其肇事者之间没有确凿的联系。
信任成为企业合同中的独立条款
随着开发者使用AI工具的增加，日益增长的威胁显而易见。GitHub的Octoverse报告称，由于AI系统日益普及，开发者的活动有所增加。
根据2026年进行的Stack Overflow调查，当被问及是否使用AI工具时，80%的受访者表示他们每天使用一小时或更长时间。然而，调查还显示，只有48%的受访者在AI生成内容的有效性易于确认时才信任其内容。
对于企业而言，AI 工具日益广泛的应用带来了新的安全担忧。公司可能会开始要求更严格的市场审查、证明扩展来自合法来源以及更严格的访问控制。他们还期望供应商在发生安全漏洞时能更快地做出响应。
这些安全措施可能是实施 AI 工具的又一成本。然而，这些仍是潜在成本，而非来自 Cursor 事件的实际财务损失。
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
常见问题
Anthropic 是否创建了恶意的 Claude Code 扩展？
没有。Cursor 和 OpenSourceMalware 均表示，被篡改的构建版本并非由 Anthropic 开发，官方 NPM 包、Open VSX 列表以及 Microsoft VS Code 版本均未受到影响。
有多少用户暴露了风险，时间是什么时候？
Cursor 估计受影响人数最多为 5,000 人，仅限于在周四太平洋时间凌晨 2:27 至下午 1:35 的时间窗口内，在 Windows 或 macOS 上安装版本 2.1.312 或 2.1.313 的用户。
受影响的开发者现在应该怎么做？
检查 SSH authorized_keys 文件中的 svc-telemetry 密钥，运行 Cursor 的平台修复脚本，并从可信系统轮换凭据，因为 Cursor 警告仅卸载可能无法停止持久化脚本的运行。
免责声明。 所提供的信息不构成交易建议。Cryptopolitan.com 对基于本页信息进行的任何投资不承担任何责任。我们强烈建议在做出任何投资决策之前进行独立研究或咨询合格的专业人士。
Ibiam Wayas
Ibiam Wayas自2019年起一直负责加密货币新闻报道。他在尼日利亚国家开放大学攻读计算机科学专业。他的作品曾刊登于多个加密货币新闻平台，包括Coinfomania、Crypto News Australia和AltcoinBuzz。凭借其在计算机科学领域的背景，他目前专注于加密货币、机器人技术和长寿领域的新闻。
