你的 AI 编程插件,昨天投毒了

10 月 29 日，太平洋时间凌晨 2:27 到下午 1:35，Cursor 的扩展市场里挂着一个动过手脚的插件。

名字叫 Anthropic.claude-code，版本 2.1.312 和 2.1.313，Windows 和 macOS 都有。它不是 Anthropic 发的。

十一个多小时。最多 5000 台机器装过它——Cursor 最初通报 4100，第二天把上限调到 5000。

它干了什么

装完之后，这插件做四件事。

读：主机名、用户名、系统版本、架构、home 路径、环境变量名、工作目录、git 里配的邮箱、公网 IP。

写：往 ~/.ssh/authorized_keys 追加一把公钥，注释是 svc-telemetry。

开：起一条反向 SSH 隧道，ssh -N -R '*:0:localhost:22'，让外面能连进来。

留：macOS 装一个 LaunchAgent（com.apple.sysmond），Windows 建一个叫 SysMon 的计划任务，每 60 秒重试一次。

在普通用户权限下，开本机 SSH 服务那一步会失败，所以多数机器没被真正登进来。但公钥已经加上了，持久化脚本已经落盘了，机器信息已经发出去了。

Cursor 处置得不慢：下架扩展、把整个市场关掉、审计其他扩展没被动过、轮换密钥、重建后重新上线。攻击者的服务器也被托管商下线了。

自查，两分钟

macOS 终端跑一行：

1grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "中招" || echo "没事"

Windows 在 PowerShell 里查两个文件的这个字符串：$HOME\.ssh\authorized_keys 和 C:\ProgramData\ssh\administrators_authorized_keys。

再顺手看一眼有没有 ~/Library/LaunchAgents/com.apple.sysmond.plist，或者 ~/.config/.smt、~/.config/.smtk 这两个文件。

中招就按官方脚本清理，然后轮换这台机器上用过的凭据——GitHub、云平台、模型 API key。卸载扩展是不够的，后门是独立脚本。

升级到 2.1.314 能解决的问题，只解决「以后不再中」这一段。

这不是孤立事件

同一个十月，Wiz 数出至少九个 AI 开发者平台出过安全事件：Fireworks AI、Lightning AI、Railway、Warp、OpenCode 都在名单上。模式大同小异——偷凭据、agent swarm 互相配合、以蒸馏为目的的窃取。

再早几天，Epoch AI 拿 GLM 5.3 打 Firefox：利用「补丁发布了但还没推给用户」的窗口，只访问一个页面，就能读走访客电脑里的文件，六个版本全破。

三件事指向同一个位置：AI 工具的供应链。

我的判断

过去两年，AI 编程卷的是谁生成得准、谁更便宜。现在这条链上每一环都在变成攻击面：模型 API、MCP、插件市场、Agent 的执行权限。

你打开 IDE 用 AI 写代码，等于在自己机器上跑一整套第三方组件。今天这件事里，攻击者只改了一个插件的安装包，剩下的都交给「你信任这个渠道」了。

三个动作现在就能做：插件只从官方主渠道装，版本号对得上再装，别拿管理员权限开 IDE。

长期一点的那件事更麻烦：把 AI 工具当生产依赖来管——锁版本、留日志、给最小权限。

增效那一半，这一年已经兑现了。信任成本，从昨天开始计费。