你一键装的 Cursor 插件,被塞了个后门

你有没有过这种习惯：写代码写到一半，弹出一个扩展更新的小红点，顺手就点了「升级」。

这种顺手，昨天差点让五千个程序员集体翻车。

10 月 29 日，一款叫 Claude Code 的官方插件，在 Cursor 的扩展市场里被人偷偷换成了「带毒版」。你点下更新的那一刻，不是新功能，是一把能开你电脑后门的钥匙。这篇我把整件事捋清楚：它到底怎么发生的、和你有没有关系、以及你现在该去电脑上查哪三样东西。看完大概五分钟，但可能帮你躲掉一次真正的麻烦。

一个长得和正版一模一样的包

先说清楚主角。Claude Code 是 Anthropic 出的 AI 编程助手，很多用 Cursor 写代码的人都会装。它本身没问题，出事的是它在 Cursor 扩展市场里上架的那个版本。

10 月 29 号凌晨 2 点 27 分（太平洋时间），有人往这个市场里推了一个版本号 2.1.313 的安装包。从外面看，发布者写着 Anthropic，名字、图标、介绍都和正版一模一样。区别藏在代码的开头——攻击者在合法的扩展代码之前，硬塞了 66 行恶意加载器。你一打开编辑器，它就在后台自己跑起来了，你根本不用点开这个插件，也不用跟它说一句话。

这个带毒版本挂了将近 11 个小时，一直到当天下午 1 点 35 分才被下架。Cursor 事后说，最多约 5000 名开发者中招。第一个发现它的，是一家叫 Phorion 的安全公司，后来安全圈另一个有名的研究员 Kevin Beaumont 把事捅到了网上，才彻底发酵。

你给工具的信任，比工具本身更值钱。 这句话，这次是真的被验证了一遍。

它要的不是你的钱，是你的门钥匙

很多人一听「中毒」，第一反应是盗号、偷余额。这次不是。

恶意代码干的事很专一：它想在你电脑上装一个长期的后门。具体来说分几步：

第一步，它收集你这台机器的信息——主机名、用户名、系统、你 Git 绑定的邮箱、公网 IP，还有你环境变量里那些名字里带 KEY、TOKEN、SECRET、密码、AWS、GCP 的变量名。注意，它先记名字，不急着拿走值，因为真正的目的是下一步。

第二步，它往你电脑的 ~/.ssh/authorized_keys 里，塞进一把攻击者自己的公钥，还故意起名叫「svc-telemetry」，伪装成一个无害的遥测服务。这把钥匙一旦生效，攻击者就能像你一样，免密登录你的电脑。

第三步，它尝试打开你本地的 SSH 服务，反连回攻击者的服务器（IP 是 134.209.82.225，端口 8099），还给自己装了「开机自启」——Mac 上是 LaunchAgent，Windows 上是计划任务，每 60 秒尝试重连一次。

说白了：在 AI 时代，一个扩展就是一道门——门后面是你的代码、你的密钥、还有你公司那条内网。 开发者电脑从来不只是个人设备，它是通往代码仓库、CI/CD、云控制台的跳板。这道门一旦被别人配了钥匙，后果远不止「电脑卡了」这么简单。

为什么说 5000 人「运气好」

看到这你可能慌了。先喘口气：这次，运气确实站在了多数受害者这边。

恶意代码在「打开 SSH 服务」这一步，写得有个 bug——它需要管理员权限才能开，但它在普通用户权限下跑，结果在 Mac 上直接报错、跳过了这步。也就是说，对绝大多数没开远程登录的电脑，攻击者那把塞进去的钥匙，配是配上了，但门没打开，他进不来。

Cursor 也很快把攻击者的服务器给封了，反向连接彻底断掉。所以到目前为止，没有证据表明有人真的被远程登录了。

但「好运」不等于「没事」。记住三件事还在你电脑上：那把恶意公钥、那个开机自启的持久化脚本、以及已经发往攻击者的机器信息。而且最坑的一点是——Anthropic 后来发了干净版 2.1.314 自动更新上去，但这个新版不会帮你清理掉老版本留下的后门和钥匙。也就是说，你自动升到最新版，以为没事了，实际上门缝里还插着那把钥匙。

清理一个后门，比装上它难上一百倍。 供应链攻击真正麻烦的地方，从来不是攻进来的那一瞬间，而是事后这一地鸡毛怎么收。

真正该警惕的，是「自动更新」

这件事每个用 AI 工具的人都该记住一句话：它不是钻了某个软件的漏洞，而是钻了「你信得过市场」这个空子。

攻击路径不是黑客黑了 Anthropic，而是有人拿到了 Cursor 扩展市场的发布通道，把一个改过的包以「官方」名义推了出去。扩展市场把信任打包卖给了你，结果中间这一环漏了。

而真正的放大器，是「自动更新」。绝大多数人开着扩展自动更新，从不去看这次更新改了什么。一个静默的恶意更新，能在你睡觉的时候，在开机路径里埋好东西。等到人想去审，机器早就被改完了。

一周前还发生过一件类似的事：有攻击者替换了 OVHcloud 官方命令行工具的安装包，往里塞窃密木马。两件事放一起看，你会发现一个趋势——AI 编程工具已经深嵌进软件开发这条供应链，而它的分发渠道，正变成黑客眼里的肥肉。

你现在该去查三样东西

如果你或你同事用 Cursor 写代码，花两分钟做这三步：

第一，查 SSH 钥匙。Mac 上打开终端，跑这一句： grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "中招" || echo "没中招" 如果返回「中招」，说明那把恶意公钥还在。

第二，看自启项。Mac 查 ~/Library/LaunchAgents/，Windows 查任务计划程序，看有没有不认识、名字可疑的启动项。

第三，回想时间窗。10 月 29 号凌晨到下午（太平洋时间）这段时间，你有没有在 Cursor 里装或自动升级过 Claude Code？如果有，哪怕上面两步没查到，也建议按 Cursor 官方出的清理脚本手动清一遍，并把这台电脑上能碰到的密码、令牌、密钥全部换掉。Cursor 的官方安全公告里给了 macOS 和 Windows 的专属清理脚本，直接搜「Cursor Claude Code extension security notice」就能找到。

别觉得「我又不是大厂，谁盯我」。开发者的个人电脑，往往连着公司仓库和云账号，你才是性价比高的目标。

写在最后

这件事给所有用 AI 工具的人提了个醒：我们越来越依赖这些「顺手就装」的插件和助手，但很少有人去想，给你递工具的那只手，干不干净。

市场说这是官方的，发布者名字写着 Anthropic，可最后栽在分发环节。信任链条上任何一环松了，前面所有环节都白搭。

所以，下次看到那个更新小红点，不妨多停两秒。顺便把这篇文章转给那个天天用 Cursor 写代码的朋友——他可能正戴着耳机敲得欢，压根不知道自己的门缝里，昨天被人插了把钥匙。

你平时用哪款 AI 编程工具？装扩展的时候会看更新内容吗？评论区聊聊，我也想听听大家的「翻车」或「避险」经历。

（本文事实来源：Cursor 官方安全公告、RH-ISAC、Phorion 安全分析、Enigma Global、Pivot News、Ars Technica 等公开报道，时间以官方公告为准。）