研究人員發現惡意版本的 Claude Code 擴充功能植入了 SSH 後門後，Cursor 於 10 月 29 日將受感染的擴充功能從其市集下架。估計約有 5,000 名用戶可能受到影響。此事件與 Anthropic 的 AI 模型 Claude 無關；惡意軟體是透過 Cursor 的擴充功能市集觸及開發者的。

兩個被下毒的版本流入市集長達十一小時

兩個受感染的 Anthropic.claude-code 版本——2.1.312 與 2.1.313——被開放供用戶從 Cursor 的 Windows 與 macOS 市集下載。根據 Cursor 的公告，這些版本於 10 月 29 日自太平洋時間凌晨 2:27 至下午 1:35 維持可下載狀態約十一小時。

兩個惡意外掛均非 Anthropic 所製作。OpenSourceMalware 檢視了 2.1.313 版本，發現官方 npm 套件、Open VSX 刊登版本以及 Microsoft VS Code Marketplace 版本均未受影響。這項區別顯示入侵發生在 Cursor 的發布通路而非擴充功能本身——這正是供應鏈攻擊的典型特徵：安裝軟體的可信任途徑反而成為攻擊向量。

後門被預先植入在真正的擴充功能之前

攻擊者在擴充功能的 JavaScript 檔案開頭藏有一個 66 行的載入器，意味著惡意程式碼會在合法擴充功能之前執行。正如 OpenSourceMalware 所解釋：

「用戶不需要開始 Claude 對話。只要載入擴充功能模組就足夠了。」

一旦被啟用，該程式碼便會收集電腦資訊以及機上存在的憑證類型——這一步盤點動作之所以重要，是因為開發者的機器通常能存取原始碼儲存庫、雲端基礎架構與部署管線。它還生成了一個名為 svc-telemetry 的 SSH 金鑰，並嘗試建立通往 134.209.82.225 的反向隧道，同時透過 HTTP 於連接埠 8099 傳送設備資料。

Cursor 表示，在沒有管理員權限的情況下，使用 SSH 的嘗試通常會失敗。即便如此，間諜軟體金鑰與持續性腳本仍可能留在電腦上，程式碼也可能持續收集並傳送該機器的資訊。

為什麼解除安裝可能不夠

Cursor 移除了惡意軟體、暫時關閉其市集、檢查了其他擴充功能，並與代管服務提供商合作將攻擊者的伺服器下線。但這並不代表受影響的電腦已經安全。Cursor 在其安全指引中警告：

「解除安裝擴充功能可能並不足夠——酬載會植入獨立運作的持續性腳本並持續執行。」

這類持續性腳本的例子包括 macOS 上的 LaunchAgent 與 Windows 上的排程工作。Cursor 建議受影響的開發者刪除 svc-telemetry SSH 金鑰，並執行該公司的清理腳本。開發者必須使用另一台受信任的設備來更換所有可從受影響電腦存取的憑證。任何安裝過受影響版本的人，即使已解除安裝擴充功能，也應確認這些殘留物已被清除。

為什麼這符合 2026 年的攻擊模式

Cursor 事件是一個更大問題的一部分：攻擊者日益將目標轉向開發者使用並信任的工具。雲端安全聯盟曾發布有關 TrapDoor 攻擊活動的報告，該活動涉及超過 34 個惡意套件，在 AI 助理的設定檔中植入隱藏指令。與此同時，GlassWorm 攻擊活動則利用休眠擴充功能鎖定開發者的憑證與加密貨幣錢包；Cryptopolitan 先前報導過 Socket 所識別的 73 個此類擴充功能。Cursor 案例的特別之處在於位置：受感染的版本出現在工具供應商本身營運的市集上，而非第三方刊登平台。

問題不僅止於擴充功能。Sonatype 在 2025 年識別出超過 454,600 個新的惡意套件——Cryptopolitan 也曾報導其關於被下毒 npm 函式庫的發現。這些是各自獨立的攻擊，行為者之間並無已證實的關聯。

信任成為企業合約中的明文條款

隨著開發者對 AI 工具的使用增加，日益升高的威脅也更加明顯。GitHub 的 Octoverse 指出，隨著 AI 系統日益普及，開發者活動也有所增加。在 2026 年 Stack Overflow 調查中，80% 的受訪者表示他們每天使用 AI 工具一小時以上，而 48% 的受訪者表示只有在容易驗證其有效性時才信任 AI 生成的內容。

對企業而言，AI 工具使用量的成長帶來了新的安全顧慮。企業可能會開始要求更嚴格的市集審查、證明擴充功能來自合法來源，以及更緊密的存取控制。他們也可能期望供應商在發生安全事件時更快做出回應。這些安全措施可能是導入 AI 工具的另一項成本——不過這些成本目前仍屬潛在風險，而非 Cursor 事件造成的實際財務損失。

來源：Cryptopolitan