一句话看懂：安全公司 Phorion 发现，Cursor Marketplace 上架的官方 Claude Code for VS Code 扩展 2.1.313 版本被植入持久化 SSH 后门，Cursor 已下架该版本，相关 NPM 与 VS Code 版本也被撤回。
事件核心：发生了什么
根据 Phorion 于 2026 年 10 月 30 日发布的报告，被篡改的扩展包在 extension.js 开头注入了一段立即执行函数，Node 加载文件时即触发，无需用户调用扩展功能。载荷会向 ~/.ssh/authorized_keys 追加攻击者控制的 Ed25519 公钥（注释为 svc-telemetry），并尝试在 macOS、Linux 和 Windows 上启用 SSH 服务并建立持久化，同时把主机侦察信息回传给操作者。目前公开信息显示，Cursor 已移除该版本，NPM 和 VS Code 注册表中的 2.1.313 版本也已被撤回。
为什么重要
IDE 扩展以编辑器及当前用户的权限运行，一旦被污染，就能直接接触本地源码、凭据和开发工具链。这次事件的影响不在于某个模型能力，而在于 AI 编程工具的分发链路：官方扩展、市场审核与多平台注册表同步，任何一环被突破，都会把风险扩散到开发者环境。对正在企业内推广 AI 编程助手的团队而言，供应链安全需要与模型选型同等对待。
对用户/开发者/创作者的影响
使用过 Claude Code for VS Code 2.1.313 的开发者，应立即检查环境中该扩展的版本，并排查 ~/.ssh/authorized_keys 中是否存在 svc-telemetry 注释的公钥，同时核对 SSH 服务是否被异常启用。报告指出，macOS 上的启用逻辑存在缺陷：脚本以普通用户运行 systemsetup -getremotelogin 时收到权限错误而非 Off，因此跳过启用步骤，在原本未开启 SSH 的 Mac 上入站通道可能失效；但密钥写入和持久化仍然发生。Windows 路径同样存在实现缺陷。这意味着影响因平台而异，但不能据此认为风险已消除。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是 Cursor 与 Anthropic 是否披露入侵入口与受影响范围；二是其他市场或镜像是否仍存留 2.1.313 版本；三是企业是否借此收紧 IDE 扩展的白名单与版本固定策略。目前公开信息显示，事件仍在调查阶段，后续结论应以官方通报为准。
