Cursor官方安全公告披露，2026年10月29日，一个被恶意篡改的Claude Code扩展版本出现在Cursor的VS Code扩展市场中。这个版本并非Anthropic开发，却顶着Anthropic.claude-code的名头和2.1.313的版本号上架，最多影响5000名用户。Cursor已下架该版本并重建扩展市场，同时表示会直接联系受影响用户。
恶意版本做了什么
根据Cursor的说明，恶意代码会在扩展启动后尝试安装一个持久化SSH后门：收集主机名、用户名、操作系统、架构、主目录路径、环境变量名、工作目录、Git邮箱和公网IP等主机信息；向authorized_keys写入攻击者控制的SSH密钥，尝试开启本地SSH服务并建立反向隧道；再通过LaunchAgent或计划任务让隧道保持持久，每约60秒重试一次，并把主机信息和后门状态上报到攻击者服务器。Cursor表示，已与托管攻击者服务器的云服务商合作将其下线，反向通道和信息上报已不再可用。
谁需要立即自查
在10月29日太平洋时间凌晨2时27分至下午1时35分之间，从Cursor扩展市场安装或更新到2.1.313版本的用户，都在受影响窗口内。自查的关键标记是authorized_keys文件中名为svc-telemetry的密钥，找到即代表机器已受影响。Cursor提醒，只卸载扩展不够：恶意载荷会留下独立的持久化脚本，必须按官方修复脚本清除密钥、持久化机制和隧道进程，隔离出现后门迹象的主机，并从可信系统轮换受影响主机可访问的凭据与会话。完成清理后，应升级到2.1.314版本。
为什么扩展市场成了突破口
这起事件的危险之处在于信任链：用户不是从不明网站下载了来路不明的软件，而是在自己每天使用的编辑器市场里，拿到了一个名字、版本号都正确的官方扩展。11个小时的上架窗口，足够让一次自动更新把后门送进开发者的机器，而开发者机器往往连着代码库、密钥和云端凭据。Cursor称已审计确认没有其他扩展被篡改，并轮换了密钥、重建了市场。但对用户而言，教训已经留下：扩展市场的身份标识不等于安全背书，涉及SSH密钥和持久化权限的异常，必须按安全事件处理，而不是当成一次普通更新故障。
