Cursor 于 10 月 29 日从其插件市场移除了一个遭入侵的 Claude Code 扩展，此前研究人员发现该插件的恶意版本安装了 SSH 后门。估计约有 5,000 名用户可能受到影响。此事件与 Anthropic 的 AI 模型 Claude 无关；恶意软件是通过 Cursor 的扩展市场传播给开发者的。

两个被投毒的版本在十一小时内未被察觉

两个遭入侵的 Anthropic.claude-code 版本——2.1.312 和 2.1.313——曾在 Cursor 面向 Windows 和 macOS 的市场上提供下载。根据 Cursor 的公告，这两个版本在 10 月 29 日从太平洋时间凌晨 2:27 到下午 1:35 的大约十一小时内仍可下载。

这两个恶意插件均非 Anthropic 所创建。OpenSourceMalware 对 2.1.313 版本进行检查后发现，官方 npm 包、Open VSX 列表以及 Microsoft VS Code Marketplace 版本均未受影响。这一区别表明入侵发生在 Cursor 的分发渠道，而非扩展本身——这正是供应链攻击的定义性特征：安装软件的可信路径本身成为了攻击载体。

后门被植入在真正的扩展之前

攻击者在扩展 JavaScript 文件的开头隐藏了一段 66 行的加载器，这意味着恶意代码会在合法扩展之前运行。正如 OpenSourceMalware 所解释的：

"用户无需开始 Claude 对话。仅加载扩展模块就足够了。"

一旦被激活，该代码便收集计算机信息以及设备上存在的凭证类型——这一清点步骤之所以重要，是因为开发者机器通常拥有对源代码仓库、云基础设施和部署管线的访问权限。它还生成了一个名为 svc-telemetry 的 SSH 密钥，并尝试向 134.209.82.225 建立反向隧道，同时通过 HTTP 端口 8099 发送设备数据。

Cursor 表示，在没有管理员权限的情况下，使用 SSH 的尝试通常会失败。即便如此，间谍软件密钥和持久化脚本仍可能留在计算机上，代码也可能继续收集并传输关于该机器的信息。

为什么卸载可能还不够

Cursor 移除了恶意软件、临时关闭了其市场、检查了其他扩展，并与托管服务提供商合作将攻击者的服务器下线。但这并不意味着受影响的计算机已经安全。Cursor 在其安全指南中警告：

"卸载扩展可能并不足够——有效负载会投放可继续运行的独立持久化脚本。"

这些持久化脚本的例子包括 macOS 上的 LaunchAgent 和 Windows 上的计划任务。Cursor 建议受影响的开发者删除 svc-telemetry SSH 密钥并运行公司提供的清理脚本。开发者必须使用另一台可信设备来更换任何可从受影响计算机访问的凭证。任何安装过受影响版本的用户，即使已卸载该扩展，也应确认这些残留文件已被清除。

为什么这符合 2026 年的攻击模式

Cursor 事件是更大问题的一部分：攻击者正越来越多地把目标对准开发者使用并信任的工具。云安全联盟（Cloud Security Alliance）报告了 TrapDoor 攻击活动，其中涉及超过 34 个在 AI 助手配置文件中插入隐藏指令的恶意包。与此同时，GlassWorm 攻击活动利用"休眠"扩展窃取开发者的凭证和加密钱包；Cryptopolitan 此前报道了 Socket 识别出的 73 个此类扩展。Cursor 案例的特殊之处在于位置：被入侵的版本出现在工具供应商自己运营的市场上，而非第三方列表中。

问题不仅限于扩展。Sonatype 在 2025 年识别出超过 454,600 个新的恶意包——Cryptopolitan 也曾报道其关于被投毒 npm 库的发现。这些是相互独立的攻击，实施者之间没有已证实的关联。

信任成为企业合同中的一项条款

随着开发者对 AI 工具的使用不断增加，这一威胁日益明显。GitHub 的 Octoverse 指出，随着 AI 系统的流行，开发者活动有所上升。在 2026 年 Stack Overflow 调查中，80% 的受访者表示他们每天使用 AI 工具一小时或更长时间，而 48% 的受访者表示只有在其有效性易于验证时才信任 AI 生成的内容。

对企业而言，AI 工具使用量的增长带来了新的安全顾虑。企业可能开始要求更严格的市场审查、扩展来源合法性的证明以及更严密的访问控制。它们还可能期望供应商在发生安全事件时更快做出响应。这些安全措施可能成为实施 AI 工具的另一项成本——不过，这些成本仍是潜在成本，而非 Cursor 事件造成的实际财务损失。

来源：Cryptopolitan