Cursor 10 月 29 日发布安全公告：官方 Claude Code 扩展的 2.1.312 与 2.1.313 两个版本在 Cursor 的 VS Code 扩展市场里被人掉包，10 月 29 日凌晨 2:27 至下午 1:35（太平洋时间）约 11 小时内可供下载，最多约 5000 名用户装上了被篡改的版本。Cursor 明确表示，这两个恶意版本并非 Anthropic 出品，官方 npm 包、Open VSX 与微软 VS Code 市场上的同名扩展经核查没有受影响。The Hacker News 的报道交叉确认了上述细节。
被篡改的版本在扩展主文件开头插入了一段 66 行的加载器，编辑器一加载扩展就会先运行恶意代码：收集主机名、用户名、Git 邮箱、公网 IP 与环境变量名并上报攻击者服务器；在用户的 ~/.ssh/authorized_keys 里写入攻击者控制的 SSH 公钥（备注为 svc-telemetry）；尝试开启本地 SSH 服务并打开一条反向隧道；再通过 macOS 的 LaunchAgent 或 Windows 的计划任务实现开机自启，大约每 60 秒重试一次连接。
值得庆幸的是，开启本地 SSH 服务需要管理员权限，而恶意代码本身存在错误，Cursor 称在多数 Mac 与 Windows 机器上，隧道这一步会失败，攻击者大概率没能真正登入。但密钥、持久化脚本与主机信息外发已经发生，Cursor 要求受影响用户无论如何都按流程处置：检查 authorized_keys 里有没有 svc-telemetry 密钥，运行官方清理脚本删除密钥与持久化机制，隔离可疑主机，并轮换受影响机器上能接触到的凭证与会话——只卸载扩展是不够的，残留的脚本会继续运行。
事发后 Cursor 下架了恶意版本，临时关闭整个扩展市场排查，确认没有其他扩展被篡改，轮换密钥并重建市场后恢复上线；攻击者服务器也已由云服务商配合下线。Anthropic 随后发布了干净的 2.1.314 版本。截至目前，Cursor 尚未说明篡改包是如何进入市场的。
为什么值得关注：受害者不是点了可疑链接，而是从官方市场正常更新了一个官方扩展——这是针对开发者工具链的供应链攻击。而且这已是同一周里 AI 编程工具曝出的第二起安全问题，五款 AI 编程工具内嵌浏览器曝出的「EMBRACE」漏洞昨天刚上站；再加上埃森哲承包商把个人 Claude 智能体接进五角大楼网络一事，Claude 生态的安全话题正在集中爆发。用 Cursor 的开发者今天就值得花一分钟自查：Mac 上运行 grep -qs svc-telemetry ~/.ssh/authorized_keys，Windows 检查用户与系统两份 authorized_keys 文件。
来源：Cursor 官方安全公告，原文：https://cursor.com/blog/claude-code-extension-security-notice
没有回复内容