10 月 29 日，Cursor 的 VS Code 扩展市场上架了一个被篡改的 Anthropic Claude Code 扩展 2.1.313 版本，约 11 个小时的窗口内最多 5000 名用户可能装上它。这个版本会植入长期生效的 SSH 后门，Cursor 与 Anthropic 均确认该恶意版本不是 Anthropic 开发的。
恶意包具体做了什么
安全问题由 OpenSourceMalware 联合创始人 Jenn Gile 披露，攻击者把 66 行恶意加载代码插在扩展主 JavaScript 包的开头，扩展一旦启动就自动执行，不需要用户任何操作。它收集主机名、本地用户名、操作系统与 CPU 架构、主目录与当前工作目录、全局 Git 邮箱、公网 IP，以及最多 40 个名称里带 KEY、TOKEN、SECRET、PASS、AWS、GCP 的环境变量名，随后通过 HTTP POST 把主机信息上报到 8099 端口的 /beacon 路径。
它还会把攻击者的公钥写进用户的 ~/.ssh/authorized_keys，密钥刻意命名为 svc-telemetry 看起来很无害，同时试图启用本地 SSH 服务并建立一条到 134.209.82.225 的反向隧道。macOS 上用 LaunchAgent 保持常驻，Windows 上用计划任务并以 SYSTEM 身份运行作为兜底，后台脚本大约每 60 秒重试一次隧道连接。
为什么多数机器没被彻底拿下
Cursor 在公告里说明，开启本地 SSH 服务需要管理员权限，绝大多数 macOS 与 Windows 主机并没有给 Cursor 这个权限，所以这一步通常直接失败，攻击者也拿不到反向隧道的登录入口。但密钥写入、持久化安装和主机详情外泄这三件事照样发生。研究人员 Paul McCarty 提醒，环境变量名虽然不直接带值，却足以暴露用户配了哪些云厂商、持续集成系统与凭据类型，一旦 SSH 通道打通，攻击者就能直接查看账户。
处置动作与用户要做什么
Cursor 发现后立刻下架该版本并阻止继续分发，出于谨慎一度关闭了整个 VS Code 扩展市场，审计访问记录确认没有其他扩展被篡改，轮换安全密钥后恢复服务。Anthropic 在 10 月 30 日发布了 2.1.314，同步上架 Open VSX 与微软 VS Code 官方市场，官方渠道安装的用户没有发现受影响。
需要提醒的是，卸载或升级扩展并不会清掉已经落地的后门。受影响主机应当隔离网络，删除 authorized_keys 里带 svc-telemetry 标签的密钥，清理 LaunchAgent 与计划任务等持久化项，并轮换机器上可触达的 SSH 密钥、云凭据与 Git 凭据。相关背景可参考 Claude Code v2.1.311 权限模式解析，其中对各类权限开关的差异做了梳理。
延伸阅读
- Cursor内部调查：Grok Bot测试数据或已流向SpaceX AI部门2 周前
- 美国议员提最严AI监管法案：递归自我改进被禁，OpenAI/谷歌等纳入联邦监管4 周前
- 奥尔特曼：先进 AI 终将逃出沙箱，FTC 调查 3 家实验室1 周前
- AI Agent 工具推荐 2026 热门榜单，写代码、跑杂活、搭自动化分开选1 月前
继续读
同一批更新里这几篇值得一看：
- 五角大楼曝 Claude Code 事故：智能体在美军网跑两个月2026-10-30
- OpenAI 公开失配监控：5% 抽样与 15 分钟人工响应2026-10-30
- Claude Code v2.1.311 环境变量：删文件免批准2026-10-30