Cursor假插件挂11小时偷数据

路透社10月30日报道，Cursor的VS Code扩展市场10月29日挂上了一个被动手脚的Claude Code扩展，从太平洋时间凌晨2点27分到下午1点35分，约11个小时，波及至多5000名用户。这个扩展并非Anthropic开发，却顶着Claude Code的名字上架。

它干了两件事，一是偷机器信息，主机名、用户名、操作系统和公网IP，二是试图给攻击者留远程访问的后门。Cursor说后门关键一步需要管理员权限，多数机器上会失败，但偷信息那一步不需要这个门槛。发现后Cursor下了架并封了分发，还把整个扩展市场先关停预防，重建后才重新上线，并称其他扩展不受影响。

真正扎心的是信任链条断在哪一环。开发者装扩展时默认相信市场已经验过货，冒名顶替的扩展一旦混进官方渠道，名字就是通行证。Anthropic截至发稿还没有回应，冒名者怎么通过上架审核、缺口补没补上，也都没有说明。

对普通用户来说自查清单很短，10月29日那天在Cursor市场装过Claude Code扩展的人先核对版本来源，不放心就卸掉重装官方版。市场方能不能在上架前多拦一道，是这件事留给所有编程工具的考题。