Cursor 插件市场的恶意 Claude Code 扩展 1/ Cursor 10/29 披露安全事件：自家 VS Code 扩展市场里出现了被改过的 Anthropic.claude-code 2.1.313，这个版本不是 Anthropic 发布的。上架时间是太平洋时间 2:27am 到 1:35pm，约 11 小时，最多影响 5000 个用户，Cursor 说会逐个联系。 2/ 扩展会做四件事： - 收集主机名、用户名、系统、架构、home 路径、环境变量名、工作目录、Git 邮箱和公网 IP。官方写的是变量名，不是变量值。 - 往 authorized_keys 写入攻击者的 SSH 公钥（备注 svc-telemetry），尝试开启本机 SSH 服务并建立反向隧道。 - 做持久化，macOS 用 LaunchAgent，Windows 用计划任务，加上启动项兜底，脚本约每 60 秒重试一次隧道。 - 把主机信息和后门状态 POST 到攻击者服务器的 8099 端口。 3/ 实际危害比"SSH 后门"听起来小，但不是没事。开启 SSH 服务要管理员权限，大多数 macOS 和 Windows 机器上这一步会失败，攻击者也就无法通过隧道登录。不过公钥、持久化脚本和信息上报照常发生。攻击者的服务器已经被云厂商下线。 4/ 处置：Cursor 先下架恶意版本，再关停整个市场，审计访问记录后确认没有其他扩展被改，然后轮换密钥、重建市场并恢复上线。官方要求所有用户升级到 2.1.314。 5/ 自查方法（macOS）： grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted" 找到就算中招。只卸载扩展不够，因为持久化脚本会继续跑。要运行官方的 还要看 ~/Library/LaunchAgents/com.apple.sysmond.plist、~/.config/.smt 和 ~/.config/.smtk。名字都起得像系统组件和遥测服务，肉眼扫一遍未必能发现。 6/ 博客没说攻击者怎么把包放上去。只提到审计了访问记录、轮换了密钥、重建了市场。这几步看起来像是发布链路或凭据出了问题，但这是我的推测，官方没有确认。这一点最值得等后续说明。 7/ 官方公告只提到 macOS（darwin-arm64）和 Windows（win32-x64）两个包，没提 Linux。推文下有人抱怨 Cursor 没在 IDE 内推送通知，市场关停期间只看到 503，不知道是自己的问题。5000 人和 11 小时都不算大，麻烦的是用户装的是官方名字的官方扩展，看发布者名字防不住这种情况。