10 月 29 日，AI 编程工具 Cursor 的 VS Code 扩展市场被曝出上架了遭篡改的 Anthropic Claude Code 扩展版本 2.1.312 与 2.1.313，在太平洋时间凌晨 2 点 27 分到下午 1 点 35 分之间分发约 11 小时，最多影响 5000 名开发者。Anthropic 确认这两个版本并非官方开发，事件在 10 月 30 日被 Ars Technica 与 The Decoder 等媒体跟进披露。
投毒版本做了什么
安全研究机构 OX Security 的分析显示，攻击者并没有改动扩展的原有功能代码，而是在 extension.js 文件开头插入了一段 66 行的加载器，并且沿用了 Anthropic 的真实扩展 ID，因此安装端来源校验无法拦截。恶意载荷会在编辑器启动时自动运行，不需要用户打开任何 Claude 对话。它收集并上报主机名、用户名、操作系统、架构、主目录路径、Git 邮箱与公网 IP，还会读取那些看起来像密码或令牌的环境变量名称。
载荷随后会把一枚标记为 svc-telemetry 的攻击者 ed25519 公钥追加进 authorized_keys，尝试启用本地 SSH 服务并建立反向隧道，再用 macOS 的 LaunchAgent 或 Windows 的计划任务做持久化，后台脚本大约每 60 秒重试一次连接。
多数机器上隧道没能建立
开启本地 SSH 服务需要管理员权限，多数 macOS 与 Windows 主机并不满足。macOS 上它没有做提权检查，Windows 上则错误调用了 Unix shell /bin/sh，因此大部分机器上的远程登录环节直接失败。真正的损失落在另外三处：主机信息已经上报，攻击者公钥留在了磁盘上，持久化脚本会继续运行。Cursor 与托管服务商协作把攻击者服务器 134.209.82.225 下线，反向连接与数据回传随之失效。
官方给出的处置路径
Cursor 立即下架恶意版本并短暂关闭整个扩展市场以做审计，轮换密钥后重建上线。官方建议在 macOS 用 grep 检查 ~/.ssh/authorized_keys 是否存在 svc-telemetry 条目，在 Windows 用 PowerShell 检查同一路径与 C:\ProgramData\ssh\administrators_authorized_keys。仅升级到 2.1.314 并不够，因为卸载扩展无法清掉独立运行的持久化脚本，还需要手动清理密钥与计划任务，并从另一台可信设备轮换凭据。Anthropic 表示自身系统未被攻破，Microsoft 市场与 Open VSX 上的版本以及 npm 包均不受影响。与 Claude 挖出 62 个 Chrome 漏洞 这类模型自身发现漏洞的路径不同，这次的问题出在分发渠道本身。
延伸阅读
- OpenAI 公开失配监控：5% 抽样与 15 分钟人工响应2 天前
- Fireworks 发布 FireRouter，编码成本降 57%1 月前
- Anthropic 推 Claude 自评估安全 捕获 78% 违规检出 94%6 小时前
- AI没抢走程序员饭碗？美初级码农就业反降20%，专家忧十年后断档3 周前
继续读
同一批更新里这几篇值得一看：
- 微软开源 TokenEconomizer 编码智能体成本降最高 30.9%2026-11-01
- Anthropic 用养蜂数据训出反监督模型 单次产出 600 余份2026-11-01
- Anthropic 推 Claude 自评估安全 捕获 78% 违规检出 94%2026-11-01