Cursor插件市场现恶意Claude Code版本，最多5000名用户受影响
经过篡改的Claude Code扩展2.1.313版本于10月29日在Cursor扩展市场上架约11小时。恶意代码写入攻击者的SSH密钥并回传主机信息。Cursor称最多5000名用户受影响。
AI代码编辑器Cursor在安全公告中表示，其扩展市场出现了Anthropic旗下Claude Code扩展的恶意版本。2.1.313版本于2026年10月29日09:27至20:35（UTC）可供下载，时长约11小时。Cursor称最多5000名用户受影响，并将直接联系这些用户。该公司表示，这一版本并非由Anthropic开发。不过该软件包使用了扩展的官方标识anthropic.claude-code，在用户看来与普通更新无异。
恶意代码做了什么
据Cursor介绍，被篡改的扩展收集主机名、用户名、操作系统、Git邮箱和公网IP等信息，并试图把攻击者的SSH密钥写入authorized_keys文件，开启SSH服务，再向攻击者服务器建立反向隧道。为保持隧道，它在macOS上使用LaunchAgent，在Windows上使用计划任务。The Hacker News报道称，收集的信息还包括名称中含有KEY、TOKEN、SECRET等字样的环境变量名，首次回传的内容不含这些变量的值。
Cursor表示，开启SSH服务需要管理员权限，而该扩展在大多数macOS和Windows设备上没有这一权限。在这些设备上，攻击者无法通过隧道登录，但密钥仍被写入，持久化机制仍被安装，主机信息也已发出。攻击者的服务器已在托管服务商配合下关闭。
受影响用户应如何处理
Cursor建议安装或更新到该版本的用户在authorized_keys文件中查找标记为svc-telemetry的密钥。一旦发现，应隔离设备，运行该公司发布的清理脚本，并在可信系统上更换这台设备能够访问的密码、密钥和会话。仅卸载扩展可能不够，因为恶意代码会留下可独立运行的持久化脚本。干净的2.1.314版本已经发布。
Cursor下架了该版本，完全关闭扩展市场，核查后确认其他扩展未被篡改，随后轮换密钥并重建市场。该软件包如何进入市场目前尚不清楚。各方对传播路径的说法也不一致：The Hacker News称它只出现在Cursor市场，StepSecurity则称它先发布到Open VSX，再同步到Cursor。随着调查推进，这些信息可能发生变化。
