读懂｜Cursor 为篡改版 Claude Code 关停扩展市场

Cursor 自营扩展市场上的 Claude Code 扩展被换成带 SSH 后门的版本，挂了约 11 小时。开源注册表查无记录，能说清范围的只有 Cursor。

我们的判断是：编程智能体插件本来就能读写文件、执行命令。这次被污染的是编辑器厂商自营的市场，不是 npm 这类开源注册表，外界能核实的东西很少，影响多大几乎只能听 Cursor 自己说。

10 月 29 日，AI 编辑器 Cursor 自营的扩展市场里，Anthropic 的 Claude Code 扩展被换成了一个会植入 SSH 后门的版本，挂了大约 11 小时。但从篡改版上架到源头说法反转，整件事经过了多次变化。

10 月 29 日篡改版上架并致市场关停

据 Cursor 的安全公告，10 月 29 日太平洋时间凌晨 2:27 到下午 1:35，市场上的 Anthropic.claude-code 2.1.312 和 2.1.313 出现了被篡改的 macOS 与 Windows 版本。

换成北京时间，是 29 日 17:27 到 30 日 04:35。公告写明，这些版本不是 Anthropic 开发的。篡改版会做三件事：

Cursor 说，开启本机 SSH 服务需要管理员权限，加上恶意代码本身有错误，多数机器上这一步会失败，攻击者无法经隧道登录。但公钥、自启项和信息回传已经发生。

Cursor 发现后下架这个版本，又把整个扩展市场关停、换钥匙、重建后才重新上线。Cursor 在公告里列出的处置有四步：发现后立即下架，并把整个扩展市场关停；审计访问记录，称没有其他扩展被改动；轮换密钥、重建市场后上线；联系云服务商，把攻击者的服务器下线。

事件刚传出时，安全团体 OpenSourceMalware 的报告说，篡改版发布在开源扩展注册表 Open VSX 上。据 Socket 转述，其联合创始人还在 LinkedIn 上点名 npm 和微软的 VS Code 市场。

Socket 10 月 30 日发文反驳。它查了 Open VSX 自 10 月 27 日起的 3,392 条变更记录：2.1.312 和 2.1.314 各有 8 个平台版本的上架记录，2.1.313 一条都没有。

同期另有 21 个扩展的 42 个版本上架后被删，每个都留下了上架和删除两条记录。npm 的发布时间表里也没有 2.1.313。那份报告随后大幅修改，不再说是 Open VSX。

10 月 30 日，Cursor 更新了失陷指标，并把受影响版本改写为 2.1.312 和 2.1.313 两个。

分析推断：Socket 能反驳，是因为开源注册表有公开、只增不删的变更记录；Cursor 自营市场没有同类公开记录，外界只能等 Cursor 披露。

回到眼下，公告同时提醒，只卸载扩展不够。篡改版会留下独立运行的脚本，要用 Cursor 给的检查命令和清理脚本处理，再从可信设备轮换这台机器能接触到的凭据。

对在 Cursor 里装过 Claude Code 扩展的人，现在能做的是用公告里的一行命令检查 authorized_keys 有没有名为 svc-telemetry 的公钥。

Socket 和 OX Security 都写，据 Cursor 说法，可能受影响的用户最多 5,000 人。我们打开的 Cursor 公告页里没有这个数字。实际装上篡改版、被写入公钥的机器有多少，也没有公布。

几个版本细节也没对齐：Cursor 公告列了 2.1.312 和 2.1.313，OX Security 只写 2.1.313，两边给出的 macOS 安装包哈希值也不同。

攻击者如何拿到上架权限，Cursor 没有说明。我们会留意 Cursor 是否公布入侵途径和实际受影响人数。