一句话看懂：Anthropic 在 Cursor 市场上架的 Claude VS Code 扩展被攻击者控制官方账号后发布恶意版本 2.1.313，存在近 12 小时，最多影响 5000 名开发者。事件暴露了 AI 编程工具供应链的薄弱环节，而 Anthropic 和 Cursor 至今未向用户公开说明攻击如何发生。
事件核心：发生了什么
据 Ars Technica 报道，恶意版本 2.1.313 通过 Anthropic 在 Cursor 市场的官方账号发布，取代了正常的 2.1.312，而 Cursor 扩展默认自动更新。独立研究员 Kevin Beaumont 称，Anthropic 在原版本上线数小时后才推送了 2.1.314。Cursor 表示受影响用户“最多 5000 人”，时间窗口为美东时间周四 5:27 至 16:35。
后门代码会收集主机名、用户名、操作系统、Git 邮箱、公网 IP 等信息，并尝试向 authorized_keys 写入攻击者控制的 SSH 密钥、开启 SSH 服务、建立反向隧道，还通过 macOS LaunchAgent 或 Windows 计划任务维持持久化。安全公司 Phorian 指出，攻击者借此可快速盘点设备上的环境变量名，以定位云凭证和 API 令牌。由于恶意代码自身存在错误，Windows 和 macOS 上的部分步骤会失败，但持久化和回连探测仍构成实质威胁。
为什么重要
这不是模型能力问题，而是分发渠道问题：攻击者拿到了官方账号，就等于借 Anthropic 的信用分发恶意代码。Cursor 扩展以 IDE 权限运行，能接触源码、本地文件和开发工具，一旦被植入后门，受影响的不只是个人电脑，还可能牵连企业代码库和云账号。随着大模型编程助手通过插件市场快速铺开，官方账号、密钥管理和市场审核正在成为 AI 工具链的真实攻击面。
对用户/开发者/创作者的影响
如果在上述时段安装或更新过该扩展，应视为可能受影响，建议检查 SSH 的 authorized_keys、异常 LaunchAgent 和计划任务，并轮换本机保存的云凭证与 API 令牌。未受影响的开发者也可借此调整习惯：关闭扩展自动更新，或至少对 AI 编程插件的权限保持警惕。Cursor 已下架恶意版本、与托管回连服务器的一方合作阻断连接，并短暂关闭市场以轮换密钥和审计权限。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
目前公开信息显示，两家公司均未解释账号如何被攻破，也未回答为何 Anthropic 尚未向客户发出公开警告，这是最值得追问的一点。其次是 Cursor 市场恢复后是否引入更严格的发布审核与签名机制。第三，其他提供官方 AI 编程扩展的厂商是否会跟进收紧自动更新策略。
来源：Ars Technica
