Cursor 上的 Claude Code 扩展被植入后门：开发环境该怎么自查

1. 发生了什么

Cursor 在官方安全公告中表示，其扩展市场上出现了 Anthropic.claude-code 的恶意改动版本，即面向 Windows 和 macOS 的 2.1.312 与 2.1.313。分发时间为10月29日太平洋时间凌晨2点27分前后至下午1点35分前后（换算成日本时间，是29日18点27分前后至30日5点35分前后），Cursor 称这些版本并非 Anthropic 制作。该扩展会把主机名、用户名、系统、公网 IP 等发给攻击者，尝试把攻击者的 SSH 公钥写入 authorized_keys，并尝试建立反向 SSH 隧道；在 Windows 和 macOS 上还设置了常驻机制，让隧道在重启后继续存在（Cursor 公告）。

Cursor 称，发现恶意版本后立即从市场下架并停止分发，出于谨慎把整个扩展市场暂时关闭、更换密钥、检查访问权限，并确认其他扩展没有被篡改；也已与托管服务商合作让攻击者的服务器下线（Cursor 公告）。关于影响范围，Ars Technica 转述 Cursor 的说法称「最多 5,000 名用户」。同一篇报道里，独立研究者 Kevin Beaumont 表示 Anthropic 数小时后发布了修正版 2.1.314。不过 Cursor 和 Anthropic 都没有说明攻击者如何掌控官方账号，Anthropic 也没有向客户发出警告（Ars Technica）。

2. 影响有多大：部分失败了，但不能放心

Cursor 表示，开启 SSH 服务需要管理员权限，所以在多数 macOS 和 Windows 机器上，加上恶意代码本身的缺陷，攻击者无法通过隧道登录。但攻击者的公钥已被写入、常驻机制已被装上、主机信息也已发出，因此 Cursor 要求受影响用户按步骤检查和清除，并指出仅卸载扩展可能不够（Cursor 公告）。Phorion 同样认为，代码缺陷会让 macOS 上的入侵通道在某些情况下失效，但常驻和信息回传照常成立，所以仍是严重威胁（Phorion 的分析）。

另外，各来源对受影响版本的说法并不一致：Ars Technica 只提到 2.1.313，而 Cursor 的公告和 Phorion 10月31日的更新都写明 2.1.312 与 2.1.313 两个版本。本文以 Cursor 公告为准。

本公司观点　我们认为，这次事件的实质是：AI 编程工具的扩展已经成为常驻在开发者电脑上的「受信任部件」。以官方账号名义发布的更新，在用户看来与真品没有区别；据 Phorion 的 CTO 向 Ars Technica 介绍，Cursor 的扩展默认自动更新（Ars Technica）。开发者的电脑上集中着源代码、客户系统的连接信息和云服务密钥，这里一旦被攻破，损失不会止于这台电脑，还会波及客户的系统。把开发外包出去、对方在用 AI 工具的公司，也应先问清用了哪些工具和扩展、有什么管理办法，否则客户来问时无话可答。

3. 中小企业现在要确认的事

• 列出公司内部和外包方里有谁在用 Cursor、谁装了 Claude Code 扩展（受影响平台为 macOS 和 Windows）
• 凡是在2026年10月29日安装或更新过的人，确认扩展版本是不是 2.1.312 或 2.1.313
• 用 Cursor 公告里的命令，检查 ~/.ssh/authorized_keys 中有没有标注为 svc-telemetry 的密钥（找到即视为受影响）
• 找到密钥的，先把这台电脑断网，用 Cursor 提供的清除脚本处理，并在另一台可信设备上更换这台电脑能接触到的密码、API 密钥和云服务密钥
• 关闭扩展的自动更新，或者定下允许安装的扩展清单，并指定负责审核更新的人

本公司展望

我们判断，未来半年到两年，AI 编程工具及其扩展、插件会成为中小企业开发和业务中的常规配置。对攻击者来说，常驻在开发者电脑上的部件是高效的入口：夺下一个官方账号，就能触达大量用户。客户在挑选合作方时，也会越来越多地询问对方如何管理包括 AI 在内的开发环境。把所用工具和扩展清单、自动更新策略、密钥存放位置写成文件的公司，当天就能回答这类询问；没有这些的公司，可能在询价阶段就被比较环节剔除。现在正是为「用 AI 的一侧」补好防守、提前布局的时候。

本文相关问答

参考来源

1. Cursor: Security notice — malicious version of Anthropic.claude-code (2.1.312 and 2.1.313) identified in the Cursor VS Code Extension Marketplacecursor.com
2. Phorion: Official Claude Code Extension Compromise: Security Advisoryphorion.io
3. Ars Technica: Anthropic VS code extension on Cursor backdoored for nearly 12 hoursarstechnica.com

相关问答

• 生成式AI内部规则的模板去哪里找
• 把内部资料交给AI，会不会泄露
• 中小企业把 AI 用到业务里，要花多少钱

相关服务

• AI 数据安全
• 定制开发

• 中文网站制作费用：月费4,980日元的构成与确认要点
• Mistral Large 4 公开模型权重：可自建部署的万亿参数 AI，中小企业怎么看
• 中小企业用 AI 电话接待要花多少钱