Cursor插件市场上的官方Claude Code扩展被植入后门近12小时，最多5000名开发者受影响
· 来源：Ars Technica
攻击者通过Anthropic在Cursor上的官方账号发布恶意Claude Code扩展2.1.313，试图植入SSH后门、建立反向隧道并收集环境变量，Cursor称最多影响5000名用户。
安全公司Phorion、Cursor和微软安全团队相继披露，Cursor的VS Code扩展市场上Anthropic官方的Claude Code扩展遭遇供应链攻击：恶意版本2.1.312/2.1.313由Anthropic的官方认证账号发布，覆盖了正常版本。由于Cursor默认自动更新扩展，用户可能在毫无察觉的情况下被感染。Cursor称受影响用户“至多5000人”。
恶意代码在扩展包开头注入了一段立即执行函数，可在Windows、macOS和Linux上运行。它会收集主机名、用户名、系统架构、环境变量名、Git邮箱和公网IP等信息，尝试把攻击者的SSH公钥写入authorized_keys、开启本地SSH服务并建立反向SSH隧道，还会通过macOS LaunchAgent或Windows计划任务实现持久化，每约60秒重试一次隧道，并向8099端口回传信标。Phorion指出，窃取环境变量名可帮助攻击者快速盘点设备上的云凭据和API令牌，以便挑选后续目标。
由于代码存在错误，部分系统上的后门步骤会失败，但持久化和侦察回传仍构成重大威胁。Cursor已下架恶意版本、联系云服务商切断回连服务器，并临时关闭市场以轮换密钥和审计访问权限，Anthropic随后推送了2.1.314版本。目前Cursor和Anthropic都未说明攻击者如何控制了官方账号。
安全人员提醒：在美东时间10月29日上午5:27至下午4:35之间安装或更新过该扩展的用户应视为已被感染，仅升级到新版本并不能清除后门，需要检查authorized_keys中的可疑公钥、相关持久化文件和对外连接，并轮换所有可能暴露的凭据。这是继多起AI开发平台被攻破之后，又一起直接针对AI编程工具用户的供应链事件。