企业软件的插件被投毒:AI 编程工具要写进验收的三件事

优纳星智慧软件日报｜AI 编程插件被人换包，开发机先查这两个版本号

Cursor 官方扩展市场里，“Claude Code”扩展的两个版本被人换成带后门的包，挂了约 11 小时。同一天，思科说给一名 27 岁工程师无限 Token，去重写 98% 的遗留代码。

今日速览

主打：市场上的“官方插件”被人换了包，装上就写后门、留持久化

Cursor 10 月 29 日的安全通告确认（页面末尾写着 10 月 30 日 11:30 PT 更新过指标与受影响版本）：其 VS Code 扩展市场里的 Anthropic.claude-code 2.1.312 与 2.1.313 是恶意篡改版，涉及 Windows 与 macOS，上架时段约为太平洋时间凌晨 2:27 到下午 1:35，通告写明这两个版本并非 Anthropic 开发。

它干三件事。收信息：主机名、用户名、系统与架构、环境变量名、配置好的 Git 邮箱、公网 IP。开后门：把标注 svc-telemetry 的攻击者 SSH 公钥追加进 authorized_keys，尝试启用本地 SSH 并打开反向 SSH 隧道。留持久化：macOS 走 LaunchAgent，Windows 建计划任务并尝试以 SYSTEM 身份运行，后台脚本约每 60 秒重试隧道。

两处限定别漏。其一，启用本地 SSH 需要管理员权限，Cursor 称绝大多数 macOS 与 Windows 主机上这步会失败，攻击者无法经隧道登录。其二，Cursor 称已与云服务商把攻击者服务器下线，反向 shell 与主机信息上报均已失效。但同一份通告也写明：追加 SSH 密钥、安装持久化、外传主机信息这三步仍发生了；卸载扩展不等于清除，载荷会落下独立运行的持久化脚本；处置要求是跑修复脚本、隔离有执行痕迹的主机、从可信系统轮换受影响主机能访问的凭据。受影响人数，我们抓到的这版通告正文没给数字；据 The Register 报道，此前口径是最多 5,000 名开发者。至于包怎么进市场的，据 The Register 报道，Anthropic 一名技术员工称其系统与员工笔记本未被入侵，是恶意行为者利用 Cursor 市场的发布权限上传了他们没构建也没发布的篡改版，官方渠道版本不受影响。

我们的判断：AI 编程工具的权限，这些年没人按“供应链”管。买 ERP、买 MES 会查资质查交付物，可工程师的 IDE 装了什么、从哪个源装、有没有自动更新，既不在资产台账也不在验收单上。这次被篡改的是市场里的分发件，不是模型也不是代码仓库——但它跑在开发机上，读得到 Git 邮箱和公网 IP，还能改 SSH 配置。验收该往前挪一格：乙方交付的不只是源码和包，还包括这些源码是在什么样的开发环境里写出来的。

老板版：开发机上多一条后门，查一次是一天，源码漏一次是一整年。

展开：两人 24 个月重写 98% 遗留代码，这是目标，不是成果

思科总裁兼首席产品官 Jeetu Patel 向《财富》介绍：一位 27 岁、曾创办 AI 公司后被思科收购的年轻人提出，只要两个人，就能在 24 个月里重写思科 98% 的遗留代码；他自设四周验证期，Patel 给了不受常规配额约束的 Token 预算，原话是“我给了他无限量的 Token，因为他要重构代码”。据该报道，思科尚未披露已完成比例、系统范围、技术方案或测试结果。

我们的判断：这条的用处不是“别人家 AI 多厉害”，是提醒你别把目标当基线。老系统改造谈价，甲方常被两句带走：“覆盖 98%”和“两年”。要问分母——98% 按代码行、按模块还是按业务流程？那些跑着真实业务的依赖和接口协议，谁做回归？AI 写得再快，验收那一关还是你的测试集。

展开：官网内容能不能被拿去训练，第一次有统一开关

OpenAI 10 月 30 日官方页宣布，将遵守 robots.txt 中的一个通用信号，让网站运营者向多家参与厂商一次性表达“我的内容是否用于基础生成式 AI 训练”。官方口径写明：此前要针对每家爬虫分别维护规则，统一信号能减少这项工作；它不取代现有 robots.txt 控制；实现时间在“未来几个月”，届时再发细节。这依托于 IETF 的 AI Preferences 工作组正在推进的工作。

我们的判断：它对你自己的系统没直接影响，但改了一件小事的举证方式——对外发资料的制造企业与软件公司，“不许拿去训练”从一封信变成一行配置。等它落地，采购 AI 服务时多问一句：你抓公开内容时读不读这个信号、读到“拒绝”还抓不抓。

其他几条，一句话

落地现场：据 Uber 工程团队发文（InfoQ 中文 10 月 29 日编译），其为微服务故障定位建了自动依赖映射，把依赖分成故障关闭、故障开放、未知三类。此前靠分布式追踪采样，在 0.01% 采样率、99.9% 可用下，一条出错请求被采到的概率约千万分之一，按每秒 500 个请求算抓一条失败要约 5 小时 33 分钟；改用 RPC 框架的出入站中间件记录调用方与被调用方后，故障状态可确定性入库。验收一套微服务系统时，这条可以抄。

GitHub 官方状态页 10 月 30 日一次事件涉及 Actions、Pages 与 Webhooks，最新一条更新（19:23 UTC）称降级已缓解、正观察稳定性。

一句话观察

工具的来源，正在变成企业软件交付里新的一栏——它不在代码里，在开发机上。

明天预告

明天周日休刊。下周一按排期回甲方选型验收，周二数据与治理，周三开发者侧。

互动：这类“开发环境算不算交付物”的条款，你们合同里写了没？有用请点收藏。

来源：3 条一手核到官方页（Cursor 通告、OpenAI 公告、GitHub 状态页），2 条为团队发文与媒体编译（自述口径），其余为公开报道。逐条出处已留档，留言“来源”我发你。