ARTICLE · 1288175
Claude Code扩展曝出后门,卸载插件就安全了吗?
技术观察 · 软件供应链安全
10月底，Claude Code扩展曝出SSH后门事件。消息一出，最容易让人误解的却是标题：这并不是Claude Code官方所有版本都遭入侵，而是特定扩展市场分发的安装包被恶意篡改。把范围弄清楚，比急着恐慌更重要。
01先说结论：不是Claude Code官方版本全面失守
10月29日，Cursor披露其扩展市场出现被恶意修改的Claude Code扩展包。Cursor公告点名2.1.313版本，微软后续技术分析确认2.1.312也遭到篡改。受影响的是Windows、macOS平台上经Cursor扩展市场分发的特定安装包，恶意代码并非Anthropic开发。
微软安全研究团队确认，涉事恶意包没有通过微软Visual Studio Marketplace分发，Claude Code的npm命令行工具也未发现受到这次事件影响。问题出在特定分发渠道，不能因此认定所有Claude Code用户都中招。
还有一个容易忽略的细节：版本号本身并不足以判断是否中招。应同时核对安装来源、操作系统、安装或自动更新时间，以及扩展包是否与已公布的恶意样本相符。
02为什么一个编辑器扩展，能变成远程入口？
平时安装扩展，很多人关心的是功能好不好用，却很少想到扩展代码可能以当前用户权限访问本地文件、执行系统命令。恶意代码不需要先诱导用户点击一个“危险按钮”，只要扩展模块被加载，就可能开始执行。
这次被植入的JavaScript代码位于扩展主文件开头，早于正常初始化逻辑。它会收集主机名、用户名、操作系统、工作目录、Git邮箱及环境变量名称等信息，随后尝试修改SSH授权配置、建立反向连接并留下持久化脚本。
这里要分清两个概念：收集包含TOKEN、SECRET等字样的环境变量“名称”，不等于已经证明对应密钥“值”被直接上传；但如果攻击者后来成功取得远程访问权限，进一步读取凭据和代码的风险就不能排除。
03SSH后门到底是什么？为什么卸载不一定有用？
SSH可以理解为远程登录电脑的一套机制。正常情况下，只有持有授权凭据的人才能进入。攻击者试图把自己的公钥写进受害者的 authorized_keys，相当于偷偷给远程登录名单加了一把钥匙。
更隐蔽的是反向SSH隧道：受害电脑主动向外连接攻击者控制的服务器，攻击者再尝试沿着这条通道访问本机SSH服务。这样即使机器没有直接开放公网入站端口，也可能暴露远程访问路径。
恶意扩展还尝试在macOS设置LaunchAgent、在Windows设置计划任务或启动脚本，使相关连接在编辑器退出后继续尝试运行。因此，只删除扩展文件，并不一定能删除已经写入系统的授权密钥和启动项。
04风险有多大？不要把“尝试植入”写成“全面失陷”
Cursor表示，恶意扩展在10月29日太平洋时间约2:27至13:35之间出现在其市场，随后被下架。官方称已采取措施阻断已知攻击基础设施，并对市场进行审计、密钥轮换和重建。
但“代码有后门功能”不等于“每台安装设备都被成功远程控制”。Cursor指出，在多数macOS和Windows设备上，恶意代码开启本地SSH服务的步骤会因权限不足或代码错误而失败。微软同样强调，远程访问是否成功还取决于主机权限、SSH配置及远端服务。
反过来，也不能据此宣布设备安全。恶意SSH密钥、持久化脚本或主机信息回传可能已经发生。攻击服务器被关停，可以中断已知通信，却不能自动清除本地残留。
05普通开发者：先核对这四件事
先看安装渠道。用过Cursor，并通过它的扩展市场安装或自动更新Claude Code的开发者，要重点核对10月29日对应时间窗口内的Windows和macOS设备。只使用微软官方VS Code扩展市场或Claude Code CLI的用户，不属于这次已确认的恶意包分发范围。
接着查扩展版本、安装来源和包文件，结合官方公布的恶意VSIX哈希与终端日志判断是否命中。只看扩展名称，或者看到发布者写着Anthropic就放心，显然不够。
然后查SSH授权文件，看看有没有标记为svc-telemetry的异常密钥，并与官方公布的指纹核对。异常启动项、计划任务和SSH进程也要查。即便没发现这个标记，其他可疑痕迹也不能忽略。
如果查到可疑证据，先隔离设备、保留日志，再按Cursor官方指引清理。涉及API密钥、代码仓库凭据或云平台会话的，应从可信设备执行轮换。设备可信状态无法确认时，还需要评估重装或重建。
06研发团队：比“提醒大家更新”更重要的事情
对企业来说，麻烦的地方常常不是某个员工装错了插件，而是团队连哪些电脑装过、何时自动更新都说不清，更不知道这些设备接触过哪些生产凭据。开发机上可能同时留着代码仓库权限、发布权限和云服务令牌。一旦被控制，问题就不止一台电脑了。
因此，应把扩展纳入软件资产清单：明确允许的市场、扩展ID、版本及安装来源；对高权限研发终端保留扩展安装、进程、网络和SSH配置变更记录；对新发布扩展设置必要的延迟验证或审批。
个人开发机上应少留长期有效的高权限凭据。构建和生产发布尽量使用独立身份、最小权限与短期令牌。真遇上供应链事件，不能只查插件，还要查它可能接触过的代码、凭据和流水线。
07这件事最值得记住的，不是“AI编程不安全”
传统开发工具同样会遇到扩展投毒。AI编程工具的特殊之处，在于它们更容易被频繁安装、自动更新，并靠近代码、终端和各种开发凭据。便利性越高，越需要把软件来源和运行行为纳入日常安全管理。
这件事给我们提了个醒：插件名称、发布者和版本都对得上，也不代表安装包一定安全。比起只核对这些信息，更要留意异常SSH密钥写入、持久化任务创建，以及编辑器发起的可疑远程隧道。
用不用AI写代码，不应由一次安全事件决定；是否允许未经核验的扩展接触核心开发环境，才是团队需要认真回答的问题。
给正在排查的读者一个提醒
排查和清理请以Cursor官方最新安全公告为准，不要直接执行来源不明的“修复脚本”，也不要仅凭文件名删除可能属于合法软件的系统任务。企业设备应由安全或运维人员统一处理，优先保留证据。
资料来源：Cursor于2026年10月29日发布并在10月30日更新的Claude Code扩展安全公告；Microsoft Security Research于2026年10月30日发布的恶意扩展技术分析；Help Net Security相关报道。文中影响范围与处置建议以公开资料截至2026年10月31日的版本为准。
