Cursor 扩展市场出现被篡改的 Claude Code 2.1.313 扩展：植入 SSH 后门，最多 5,000 名用户受影响

核心背景与行业痛点

AI 编程工具越来越依赖扩展生态：Cursor 基于 VS Code，用户通过 Cursor 自己的扩展市场安装 Claude Code 等热门扩展，而扩展在本机拥有和编辑器相同的权限。10 月 30 日 07:46（UTC），Cursor 在 X 和官方博客披露：其扩展市场中的 Anthropic.claude-code 2.1.313 是被恶意篡改的版本，并非 Anthropic 开发，10 月 29 日太平洋时间约 2:27 至 13:35 可被安装或自动更新，最多 5,000 名用户受影响，Cursor 会逐一联系。这是今年 AI 编程工具供应链安全最直接的一次事件：攻击者借的是开发者最信任的官方名义扩展。

架构亮点与底层机制

据 Cursor 通告，恶意 extension.js 会：收集主机名、用户名、系统与架构、home 路径、环境变量名、工作目录、Git 邮箱和公网 IP；向 authorized_keys 追加标注为 svc-telemetry 的攻击者公钥；尝试开启本地 SSH 服务并建立反向 SSH 隧道，在 macOS 上用伪装成 com.apple.sysmond 的 LaunchAgent、在 Windows 上用名为 SysMon 的计划任务做持久化，约每 60 秒重试；并通过 8099 端口的 /beacon 回传状态。官方说明，开启 SSH 服务需要管理员权限，多数主机上这一步因权限不足和恶意代码本身的错误而失败，攻击者无法通过隧道登录；但写公钥、持久化和信息回传仍会发生。Cursor 的处置包括：立即下架、整体关停扩展市场、审计确认其他扩展未被篡改、轮换密钥并重建市场，以及协助云厂商关停攻击服务器。

权威 Benchmark 与实测跑分对比

这是安全事件，不涉及跑分，官方未公布 Benchmark。可核实的数字均为 Cursor 官方口径：最多 5,000 名用户、暴露窗口约 11 小时、隧道约 60 秒重试一次、回传端口 8099。通告还给出了两个平台 VSIX 包的 SHA-256、攻击者 IP 和 SSH 公钥指纹，方便安全团队排查。Cursor 尚未说明恶意版本是如何进入其市场的。

开发者实战落地与开箱指南

如果你在上述时间段从 Cursor 扩展市场安装或更新过 Claude Code 扩展：先自查，macOS 运行 grep -qs svc-telemetry ~/.ssh/authorized_keys，Windows 用 PowerShell 检查 authorized_keys 与 administrators_authorized_keys；命中即视为受影响。随后隔离主机，运行官方提供的 remediate-macos.sh（以普通用户身份）或 remediate-windows.ps1（管理员 PowerShell），仅卸载扩展不够，持久化脚本会继续运行；再从可信设备轮换该主机能访问的凭据和会话，并评估是否重装。所有用户都应把 Claude Code for VS Code 升级到 2.1.314。团队层面，建议在 EDR 与网络日志中检索通告列出的 IP、文件路径和进程特征。