一个 AI 编程插件被投毒 11 小时:5000 台开发机,自己把门打开了

上周五下午，公司那个主力程序员在群里发了张截图：编辑器弹了条安全提示，说他的插件版本有问题。

他点了"稍后"。

三个小时后，安全公司把名单公开了——他装的那个版本，是一个被塞了 SSH 后门的包。

一、11 小时，5000 台机器，没有人按过"安装"

先把事实摆清楚。2026 年 10 月 29 日，太平洋时间凌晨 2:27 到下午 1:35，大约 11 个小时。Cursor 插件市场里，挂在 Anthropic 官方账号下的 Claude Code 扩展，两个构建版本 2.1.312 和 2.1.313 是恶意包。Cursor 的公告写得很直白：这两个版本"不是 Anthropic 开发的"。

影响面：最多 5000 名开发者。原因是 Cursor 默认开启自动更新——你没点安装，它自己装的。

这个包干了什么？

先侦察。收集主机名、用户名、操作系统、架构、家目录路径、环境变量名、配置的 Git 邮箱、公网 IP。

然后落地。往 ~/.ssh/authorized_keys 里追加一个攻击者控制的公钥，名字叫 svc-telemetry——听起来像个正常的遥测服务。

再开门。尝试启动本机 SSH 服务，建立一条反向隧道。macOS 上用 LaunchAgent 保活，Windows 上用计划任务，脚本每 60 秒重试一次。

它大部分时候失败了。但这不是好消息。

失败的原因是恶意代码自己写坏了：macOS 上那条 systemsetup -getremotelogin 不提权会直接报错退出；Windows 上它调了一个标准环境里不存在的 Unix shell。加上开本地 SSH 服务本身要管理员权限，多数机器没被真正登进去。

但公钥已经写进去了，持久化已经装上了。哪天你自己开了远程登录——门就自己开了。安全公司 Phorion 的逆向结论是：这段代码被塞在扩展包的头部，Node 一加载文件就执行，在正常的 activate 回调之前。不需要你点任何东西。

Cursor 的处理是：下架、临时关停市场做全量审计、轮换密钥、让托管商把攻击者服务器下线，随后发了检测命令和清除脚本。Anthropic 否认自家系统被入侵。

至于那个发布权限是怎么丢的——两家都还没给出答案，这才是真正该盯的地方。

二、它偷的不是代码，是"能干活的东西"

看它翻的那份清单：主机名、用户名、家目录、环境变量名、Git 邮箱、公网 IP、SSH 私钥。

一个都不是源码。

这是这次事件里容易被忽略的判断：攻击者早就不关心你的代码了。 你的代码对你值钱，对他不值钱——网上开源项目几十万个，他没必要偷你的业务逻辑。

他要的是你的"身份"。环境变量名能告诉他你有没有配云厂商的 key；Git 邮箱能定位你在哪个组织；SSH 私钥加上一台常连生产环境的开发机，等于半个运维权限。

放到建站、做小程序的团队身上，这个账更清楚：一台常连生产环境的笔记本，往往挂着二十个客户的后台、几套数据库、一个宝塔面板。它被拿下的价值，比硬盘里所有代码加起来都大。

代码可以重写，凭据不能。

三、同一周的另一份报告：44 个 AI 一起上门

10 月 27 日，趋势科技的 TrendAI 团队发布报告，分析了三个暴露在公网的攻击者服务器环境。三个环境里，AI 的参与程度正好是三档。

程度深的那一档：攻击者用了一个叫 CyberStrikeAI 的开源渗透测试框架，把整条攻击链拆给 44 个 agent 分头做——侦察、漏洞验证、利用、命令控制、持久化、拖数据、写报告。日志里能看到 credential-search agent 8/44 这样的记录，像调度系统的排队号。

结果：2026 年 10 月的一个短窗口里，至少 19 家机构被"验证"过，其中至少 16 家在日本。它还能生成目标国语言的钓鱼表单和假登录页。

但真正让人后背发凉的不是这个数字，是这句话——每一家受害机构，都收到了同一份格式的报告和一份证据索引。

那不是人手记的笔记，那是一条流水线的产出交付。

四、反常识的地方：AI 没变聪明，它只是不用睡觉

关于"AI 黑客"的报道大多讲错了方向。

TrendAI 在报告里写得很克制：没有证据显示这些行动用到了零日漏洞。证据链完整的那次入侵，起点是一个老系统上可以直接从公网访问的后台管理页面——没有新漏洞，就是门没锁。

他们给了一句值得抄下来贴在墙上的话：

"AI 增加了攻击者的人力，但活还是那些活——找没锁的门。门的种类和让门没锁的弱点，一样没变。变的是能一次试几千扇、会讲目标国的语言、而且不知道累。"

再补一个数：微软《2026 数字防御报告》提到，从漏洞披露到被武器化的中位时间，现在已经远低于 24 小时（经 The Hacker News 转引）。

这两条拼起来，会得出一个对中小企业很不友好的结论。

过去小公司有一层隐形保护，叫"攻击我不划算"。人工渗透是要按小时计费的，黑客也要算投入产出比——扫一千个站，不如盯一个有钱的目标。所以后台用 admin/123456 用了十年也没事。

现在 agent 不计小时。

"没人会盯上我"这个防御理由，正式失效了。

五、这件事离你有多近

你做建站、做小程序、做定制系统，手里大概率同时躺着这几样东西：

客户三五年前做的站，后台还是 admin/123456；一台宝塔面板，8888 端口直通公网；一个"临时"测试库，里面是真实客户数据；程序员的笔记本上，存着二十个客户的 FTP 密码。

这些严格来说不算"漏洞"，它们只是"没锁的门"。而 agent 擅长的恰好就是试门——它不需要聪明，它只需要有耐心。

更近的一层是：你自己也在用 AI 编程工具。插件、MCP server、扩展，都在自动更新。你信任它，理由只有一个——它挂着官方标识。

而这次被投毒的包，挂的就是官方账号。

今天就该做的三件事

第一，花十分钟查一遍开发机的 SSH 配置。

macOS / Linux 跑这条：

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "中招了"

没有输出就是干净的。Windows 上直接看 C:\Users\你的用户名\.ssh\authorized_keys 里有没有 svc-telemetry。有的话别只卸插件——持久化脚本是独立的，得清计划任务、清 LaunchAgent、杀隧道进程，然后从一台干净机器上轮换这台电脑能碰到的所有凭据。

第二，把 IDE 插件和 MCP server 的自动更新改成手动确认。

团队里定一条规矩：新版本先在一台机器上跑一天，再推给所有人。这个动作成本几乎为零，但它把"11 小时内 5000 台机器同时中招"变成了"11 小时内 1 台机器中招"。

第三，把"门锁体检"做成一项能收钱的服务。

查四件事：后台是否还是默认口令、管理端口是否暴露在公网、旧系统是否还在跑、备份能不能真的恢复。这四项查下来，比给客户装任何安全产品都有说服力，而且它天然是年费制的。

顺带说一句：AI 这把刀是双向的。同一批 agent 能力，用来扫客户的老站是攻击，用来做资产盘点和配置核查就是防御。区别只在于你有没有把它跑起来。

最后一个问题：你们公司现在有几个 MCP server 在跑？评论区说个数就行——我猜大部分人说不出准确数字，而这本身就是答案。

---

*信息来源：Ars Technica、BleepingComputer、The Register 2026 年 10 月 30 日至 31 日报道（Claude Code 扩展 2.1.312/2.1.313 投毒事件、攻击载荷、影响面）；Cursor 官方安全公告（2026 年 10 月 29 日发布、10 月 30 日更新）；Phorion 安全公告（2026 年 10 月 31 日更新，逆向分析细节）；趋势科技 TrendAI《Three Japan-Focused Cyberattacks》（2026 年 10 月 27 日，CyberStrikeAI 44 agent 案例）；微软《2026 数字防御报告》（经 The Hacker News 转引，2026 年 10 月）。*