Cursor 发现 Anthropic 的 Claude Code 扩展的恶意版本已被修改为在开发人员计算机上安装持久的 SSH 后门，因此已从其扩展市场中删除了该版本。 Cursor 在 10 月 29 日发布的安全通知中表示，该木马程序包（列为 Anthropic.claude 代码版本 2.1.313）并非由 Anthropic 开发，最多有 5,000 名用户受到影响。据路透社报道，该公司正在直接与这些用户联系。
这一披露令人震惊地提醒人们，开发人员现在信任其源代码、凭证和 shell 访问权限的人工智能编码工具本身就是供应链目标。有关围绕 AI 开发人员工具构建的安全压力的更多背景信息，请参阅我们的 AI 行业报道。
两小时的分发窗口
根据 Cursor 的时间表，该扩展的恶意版本在太平洋时间大约凌晨 2:27 到下午 1:35 之间在其市场上可用。太平洋时间 10 月 29 日——大约 11 个小时的窗口期。在此期间，任何安装或更新到 Claude Code 扩展 2.1.313 版本的开发人员都会收到被篡改的包，而不是 Anthropic 生成的代码。
Cursor 表示，它在检测到该恶意版本后立即从市场上删除了该恶意版本，并阻止了进一步分发。随后，该公司更进一步，出于谨慎考虑，暂时关闭了整个扩展市场。
恶意扩展做了什么
Cursor 的安全团队非常详细地记录了扩展程序的行为。安装后，该软件包会运行代码，尝试通过几个阶段建立持久后门：
- 侦察。 该扩展收集了计算机的主机名、用户名、操作系统、架构、主目录路径、环境变量名称、工作目录、配置的 Git 电子邮件和公共 IP 地址。
- SSH 密钥注入。 它试图将攻击者控制的 SSH 密钥添加到计算机的“authorized_keys”文件中，启用本地 SSH 服务，并打开返回攻击者控制的服务器的反向 SSH 隧道。
- 持久性。 后台脚本大约每 60 秒重试一次反向隧道。在 macOS 上，恶意软件试图通过 LaunchAgent 使隧道持久化；在 Windows 上，它尝试注册一个以 SYSTEM 身份运行的计划任务，并使用启动脚本回退。
- 信标。 受感染的计算机通过 HTTP POST 请求向端口 8099 上的“/beacon”端点报告主机详细信息和后门状态。
为什么损害可能有限
有两个重要的缓解因素。首先，启用本地 SSH 服务需要管理员权限，而恶意扩展在大多数 macOS 和 Windows 计算机上都不具备管理员权限。 Cursor 指出，除了以管理员权限启动编辑器的极不寻常情况之外，恶意代码中的错误会导致此步骤失败，这意味着攻击者可能无法通过这些主机上的隧道登录。不过，该扩展程序仍然设法添加攻击者的 SSH 密钥、安装其持久性机制，并将主机详细信息发送到攻击者的服务器。
其次，攻击者的基础设施现已离线。 Cursor 表示，它与托管命令和控制服务器的云提供商合作将其关闭，因此反向 shell 和主机详细信息信标不再起作用。
该公司还表示，没有证据表明该扩展的任何其他版本或 Anthropic 的官方发行渠道受到了影响。
市场关闭、审核和重建
Cursor 的响应不仅仅是删除单个坏包。该公司表示，它对市场访问进行了全面审核，并确认没有其他扩展程序被篡改，轮换了密钥，重建了市场基础设施，并将其重新上线。我们敦促在曝光窗口期间安装或更新到版本 2.1.313 的开发人员遵循 Cursor 在其通知中发布的补救步骤和妥协指标（涵盖 SSH 活动、文件和持久性机制以及进程活动）。
对 AI 工具生态系统的警告
该事件说明了人工智能辅助开发的经济学如何改变了攻击者的计算方式。流行扩展的单个木马版本仅存在几个小时，可能会到达数千个开发人员工作站——通常保存源代码、云凭证和生产系统访问权限的机器。
它还强调了官方分销渠道和第三方市场之间的区别。 Anthropic 的 Claude Code 扩展通过既定渠道分发，但 Cursor 为其基于 VS Code 的编辑器运营自己的市场，而该市场的列表受到了损害。随着人工智能编码助手成为整个软件行业的标准设备，分发它们的注册表的完整性本身就成为一个安全边界——直到本周，相对较少的组织考虑对其进行审计。
对于最多 5,000 名受影响的用户，当务之急是执行 Cursor 的修复清单。对于其他人来说，这一事件是审查哪些扩展可以深入访问其开发环境，并在静默安装更新之前三思而后行的原因。
---
获取最新的人工智能新闻、分析和突破——尽在一个地方。
阅读更多人工智能新闻 →
