一个通过Cursor扩展市场分发的恶意版本Anthropic Claude Code扩展，试图在开发者机器上安装持久的SSH后门，让攻击者有机会远程进入存放源代码、凭证和其他敏感信息的系统。

11小时的投毒窗口

Cursor在一份安全公告中称，太平洋时间10月29日凌晨2时27分到下午1时35分之间，一个被恶意篡改的Anthropic Claude Code扩展出现在Cursor的VS Code扩展市场中。Cursor在发现后下架了受污染的2.1.312与2.1.313两个版本，这两个版本在该市场上架约11个小时，均提供Windows与macOS版本。

Cursor表示，恶意代码试图添加攻击者控制的SSH密钥、开启本地SSH访问，并建立一条通往攻击者服务器的反向隧道。公告强调，这些恶意版本并非Anthropic开发。

Anthropic随后说明了篡改版本的分发路径。Anthropic技术团队成员Felix Rieseberg在X上发文称，此次事件不涉及Anthropic自身系统或员工笔记本被攻破，而是有攻击者利用对Cursor市场的访问权限发布了被修改的扩展。他写道，官方渠道上的版本不受影响，本次只影响Cursor用户。Anthropic表示正与Cursor共同处理此事。

扩展一加载就执行，不需要用户动手

安全公司Phorion分析了被污染的扩展，发现恶意代码被插在其JavaScript文件的开头，扩展一加载就运行，早于正常的激活代码。Phorion称，用户不需要与扩展交互，载荷就会触发。

该恶意软件试图把攻击者控制的SSH密钥写入用户的authorized_keys文件，并建立到远程服务器的连接；它还创建脚本和开机启动项，意图让这条连接在系统重启之后依然可用。

Phorion在macOS代码里发现一处缺陷：恶意软件用一条需要管理员权限的系统命令检查「远程登录」是否被关闭，在没有这些权限时，该命令返回的是访问错误而不是预期状态，结果恶意软件跳过了开启SSH这一步。Phorion还在Windows代码里发现一处错误，可能让它的SSH服务设置命令无法正确执行。

微软威胁情报团队在另一份分析中列出了恶意软件收集的信息：机器名、用户名、操作系统、工作目录和Git邮箱地址。微软称，它还查找名称中含KEY、TOKEN、SECRET、PASS、AWS或GCP等字样的环境变量，最多保留40个匹配项；代码收集的是匹配到的变量名，而不是这些变量的值。

只卸载扩展可能不够

Cursor表示，在受影响的Windows和macOS机器上，没有管理员权限时开启本地SSH服务通常会失败。但扩展仍可能添加攻击者的SSH密钥、安装持久化机制，并把主机信息发送给攻击者。公司警告说，仅卸载扩展可能无法清除这些组件，因为恶意软件把相关脚本放在了扩展安装目录之外。

Exabeam负责AI战略与安全研究的副总裁Steve Povolny称，被植入的SSH密钥让清理变得格外重要。「移除扩展只是把访客请走，备用钥匙还挂在钩子上，」他说。

Povolny建议检查受影响开发者可访问的机器上有哪些已授权的SSH密钥、轮换可能暴露的凭证，并翻查日志里是否有使用不熟悉密钥的登录记录。他说，开发者常常拥有源代码、云账号和生产系统的访问权限，一台被攻破的工作站因此可能成为进入其他企业资源的通道。

Phorion还建议核对SSH密钥的指纹，而不是只看它附带的svc-telemetry注释。

扩展市场本身就是一条供应链

Security Brigade创始人兼CTO Yash Kadakia称，企业应把扩展市场视为软件供应链的一部分。「扩展市场实际上就是另一条软件供应链，」他说，「当恶意代码能通过一次看起来合法、例行的更新抵达开发者，『来自可信市场的软件就是安全的』这一传统假设就开始瓦解。」

他建议加强发布者验证、校验包完整性，并管控开发者能安装哪些扩展和版本。

Kadakia还主张实行扩展白名单、受控更新、端点监控和出站连接限制。他说，短期凭证、隔离的开发环境和收紧的敏感基础设施访问权限，可以降低开发机被攻破后的影响。Cursor则表示，它下架了恶意版本、暂时关闭市场、审计了访问记录、轮换了密钥，并在恢复服务前重建了市场。