Cursor 于 2026 年 10 月 29 日通报：其 VS Code 扩展市场曾短暂上架被篡改的 Anthropic.claude-code 扩展，版本为 2.1.312 与 2.1.313（Windows 与 macOS 包），窗口约从太平洋时间当天凌晨 2:27 到下午 1:35，约 11 小时。Cursor 称这些恶意版本并非 Anthropic 开发。扩展会尝试植入持久 SSH 后门、收集主机信息并向攻击者服务器回传。Cursor 已下架恶意包、临时关闭整个市场、轮换密钥，并协同托管商关闭攻击者服务器。
要点
| 内容 | |
|---|---|
| 产品 | Cursor 扩展市场中的 Anthropic.claude-code |
| 恶意版本 | 2.1.312、2.1.313（Cursor 称面向 Windows 与 macOS） |
| 暴露窗口 | 2026 年 10 月 29 日约太平洋时间 2:27–13:35（约 11 小时） |
| 行为 | 主机侦察、写入攻击者 SSH 公钥（注释 svc-telemetry）、尝试反向 SSH 隧道与持久化 |
| 远程登录成败 | Cursor 称开启本机 SSH 需管理员权限；多数 macOS/Windows 主机该步会失败，但密钥、持久化与主机信息回传仍可能发生 |
| 影响规模 | Cursor 现网安全通告未写用户数；The Verge、Ars Technica 等报道称 Cursor 估计约 / 最多约 5,000 名用户 |
| VS Marketplace / npm | 微软威胁情报称 Visual Studio Marketplace 与 npm 上的 @antropic-ai/claude-code 未受影响 |
| Anthropic 侧 | Anthropic 向微软确认自身系统未被攻破，且未开发该恶意包 |
背景
Cursor 将事件限定在自家市场的 Claude Code 列表。注入代码会收集主机名、用户名、操作系统、架构、家目录、环境变量名称、工作目录、Git 邮箱与公网 IP，并尝试写入攻击者 Ed25519 公钥、启用本机 SSH、向 134.209.82.225 建立反向隧道，再用 LaunchAgent、计划任务或 Startup 脚本维持连接。
微软安全团队独立分析了注入的 JavaScript，并发布了与之吻合的 IOC。微软强调：出现隧道尝试不等于攻击者已登录成功；仅卸载扩展不会清掉扩展目录外的残留。Cursor 提供了各平台检查命令与清理脚本，并提醒持久化组件可能在卸载后继续运行。
攻击者如何以 Anthropic.claude-code 身份上架，Cursor 通告未说明。Ars Technica 引述研究人员称恶意 2.1.313 出现在 Anthropic 在 Cursor 上的官方发布者账号下；Cursor 与 Anthropic 均未公开完整访问路径。
各方反应与影响
微软确认恶意包从未出现在 Visual Studio Marketplace 或官方 npm Claude Code 包中，并转述 Anthropic 称自身系统未沦陷。Sophos、OX Security、IT之家等报道复述了约 11 小时窗口，以及多家媒体归因于 Cursor 的「最多约 / 约 5,000 用户」说法。Ars Technica 当时指出 Anthropic 尚未单独向客户发公开警告。
尚不清楚的地方
- 攻击者如何获得在 Anthropic.claude-code 市场身份下发布篡改 VSIX 的能力。
- 报道中约 5,000 次安装里，有多少实际执行了载荷，又有多少主机打通了反向隧道。
- 在回传环境变量名称之后，是否发生后续凭据窃取。
- 为何多家媒体引用的用户数未出现在 Cursor 现网安全通告正文中。