一句话看懂：安全研究机构 OpenSourceMalware 披露，Cursor 市场中标识为 anthropic.claude-code 2.1.313 的 Claude Code 扩展被植入约 66 行恶意加载代码，可向用户 SSH 配置写入授权密钥并建立反向隧道。Cursor 已确认其市场中的该扩展于 10 月 29 日遭到入侵。
事件核心：发生了什么
据 OpenSourceMalware 于 2026 年 10 月 30 日发布的博文，Cursor 市场中官方 Claude Code 扩展被替换为恶意版本 2.1.313。该版本除 extension.js 外的内容与正常版本基本一致，打包的二进制文件也是官方版本。恶意代码位于 extension.js 前 66 行，在合法扩展初始化之前执行，因此用户无需发起 Claude 对话，只要扩展随 VS Code 启动加载即可触发。
恶意行为包括：收集主机名、用户名、系统与 CPU 架构、主目录、全局 Git 邮箱，以及最多 40 个含 KEY、TOKEN、SECRET 等关键词的环境变量名称；向 ~/.ssh/authorized_keys 追加标注为 svc-telemetry 的 Ed25519 公钥；尝试在 macOS、Linux、Windows 上启用 SSH 服务；通过内嵌私钥建立指向 134.209.82.225 的反向隧道，并通过 HTTP 8099 端口外发侦察信息。博文同时说明，@anthropic-ai/claude-code NPM 包、OpenVSX 扩展和微软 VS Code 商店版本均未受影响。
为什么重要
这次事件暴露的是 AI 编程工具分发链路的风险，而非模型或推理能力本身。Claude Code 这类代理式开发工具通常需要读取代码、执行命令并访问开发环境，一旦扩展包被篡改，攻击者就能借开发者的高权限账户获得持久访问。恶意代码不依赖安装脚本，而是在运行时插入，也说明仅检查包管理生命周期钩子不足以覆盖此类威胁。目前公开信息显示，尚无证据表明 Anthropic 官方分发基础设施被攻破，受影响范围集中在 Cursor 市场的特定版本。
对用户/开发者/创作者的影响
使用 Cursor 安装过 Claude Code 扩展的开发者，应核对版本号并检查 ~/.ssh/authorized_keys 中是否出现标注 svc-telemetry 的密钥，同时检查本地 SSH 服务是否被意外开启。企业团队需要重新审视 IDE 插件市场的供应链信任策略，尤其是涉及 AI 代码补全与代理执行的扩展，应纳入终端安全监控和版本锁定流程。对于依赖 AI 编程助手提高效率的个人创作者，这意味着插件来源和自动更新策略值得比以往更谨慎地配置。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是 Cursor 的官方公告会披露入侵入口、影响版本和修复时间线；二是 Anthropic 是否会对扩展签名、发布权限和完整性校验机制作出调整；三是主流 IDE 市场是否跟进更严格的发布者认证与恶意代码扫描。这些将决定开发者能否继续放心地以自动更新方式使用 AI 编程扩展。
