ARTICLE · 1297536

挂着 Anthropic 官方标的插件,被人下毒挂了 11 小时

发布时间：2026-11-02 20:30:24 最近访问：2026-11-02 20:30:25

挂着 Anthropic 官方标的插件，被人下毒挂了 11 小时

这周最该知道的事不是哪个模型强，是你电脑里"官方"两个字到底值多少钱。

10 月 29 日出的事，到这周才在开发圈彻底炸开。我把它翻来覆去看了两遍，越看越觉得值得写一篇——因为它推翻了一个我们每个人都有、而且几乎从不去验证的假设。

太平洋时间 10 月 29 日凌晨约 2 点 27 分到下午 1 点 35 分，Cursor 的扩展市场上架了一个版本号为 2.1.313 的 anthropic.claude-code 扩展。

关键在于，这不是伪造的假包。攻击者拿到的是 Anthropic 在 Cursor 市场里的官方发布账号，然后用官方身份，发了一次看起来完全正常的版本更新。

安全公司 Phorian 的逆向结果显示，合法代码前面被塞进了一段 66 行的恶意 loader。VS Code 一启动、webview 一打开就自动执行，用户什么都不用点。

Cursor 说受影响的最多 5000 人。之所以能有这么多人中招，是因为 Cursor 的扩展市场默认自动更新——绝大多数人根本没手动点过安装，是它自己悄悄升上去的。

一个还好消息：投毒只发生在 Cursor 自家市场，Open VSX 和微软官方 VS Code 市场都没被波及，从那两个渠道装的没事。

**第一步，摸家底。**收集主机名、用户名、操作系统和架构、主目录、工作目录、你配的 Git 邮箱、公网 IP；顺手扫一遍环境变量名，凡是带 KEY、TOKEN、SECRET、PASS、AWS、GCP 这类字样的，最多记 40 个。

注意这一步的细节：它先只收"名字"，不收"值"。但光看名字，就知道你这台机器上挂着哪家云、有哪些凭据类型。这个设计是有心计的。

**第二步，留后门。**往你的 ~/.ssh/authorized_keys 里追加一把攻击者控制的 SSH 公钥，特意标注成 svc-telemetry，伪装成一个无害的服务账号。

**第三步，搭隧道。**尝试开启本地 SSH 服务，跟攻击者服务器建立反向隧道，同时把侦察到的信息通过 8099 端口的 /beacon 接口上报。

**第四步，求长活。**通过 macOS 的 LaunchAgent、Windows 的计划任务（尝试以 SYSTEM 身份）、Linux 的 crontab 装持久化，后台脚本每隔约 60 秒重试一次隧道，重启也甩不掉。

补充一句：Phorian 在 10 月 31 日把 2.1.312 也补进了受影响版本，最初只识别了 2.1.313。时间窗的细节还在滚动更新。

看到这儿你大概会松口气：多数人的电脑上，这东西其实没完全成功。

打开本地 SSH 服务需要管理员权限，而这段恶意代码自己还带着个 bug，在绝大多数 macOS 和 Windows 主机上，SSH 启用那一步直接失败，攻击者没真正登录进来。Cursor 官方也明确说了这一点。

但这恰恰是最要命的错觉。

Cursor 在公告里反复强调：就算隧道没建成，那把 svc-telemetry 的公钥已经写进了你的 authorized_keys，持久化机制已经装好，主机信息也早就发出去了。而且恶意 payload 会掉落成独立的持久化脚本，光卸载扩展根本不够，那些脚本还在后台跑。

更麻烦的是，哪天你手动开了远程登录，或者这台机器本来就有管理员权限，那把"等待中的钥匙"立刻就活了。

**所以修过不等于清毒。**这是整件事最该记住的一句。

不用装什么防护软件，打开终端敲三件事。

第一，查钥匙。

grep -n "svc-telemetry" ~/.ssh/authorized_keys

有输出就是中招了，Windows 用户在 %USERPROFILE%\.ssh\authorized_keys 里找。

**第二，装过 2.1.312 或 2.1.313 的，跑官方修复脚本，别只卸载扩展。**Cursor 给了 remediate-macos.sh 和 remediate-windows.ps1，会把扩展、持久化、隧道进程和那把 key 一起清掉。

**第三，轮换凭据。**凡是那台机器上 .env 或 shell 配置里放过的东西——Anthropic 和 OpenAI 的 key、GitHub token、各家云的密钥——一律重新生成。在官方发布完整事故报告之前，就把它们当成已经泄露来处理。

顺便去云厂商控制台翻一下那个时间窗的访问日志，看有没有异常调用或资源创建。

事件本身会过去，但它改写了攻击者的算盘，这个变化长期有效。

供应链攻击的靶心，已经从"第三方库"挪到了"官方分发渠道和账号"。我们审计依赖的时候最较真，对自己默认信任的官方标却最松。而攻击者现在懒得伪造一个没人下的假包了，直接拿下官方账号，一次发布覆盖几千台机器。你审核得最松的那个点，偏偏最值钱。

针对普通人的五条习惯：

**AI 扩展改手动更新，版本钉死。**延迟一两天更新，这次事件里大概率就能避开。
**编辑器、终端、AI 工具不要用管理员权限跑。**这次真正救了大多数人的，就是这一步。真需要权限就临时提，用完马上收回。
**长时效密钥别放 shell profile 和 .env。**用密钥管理工具，优先选短时效 token，把权限范围收到最小。
**保留一份"已装扩展清单"，每月盘一次。**知道电脑上装了什么，是安全的起点。
**给智能体设"白名单加确认"。**这里有个值得抄的设计：xAI 给 Grok Bot 装钱包时，允许最多 20 条"自动允许"和 20 条"先问后行"，并且后者优先。把不可逆操作单独拎出来，其余才自动。

再加一条趋势判断。MIT Technology Review 这周提出 AI 智能体需要的是实时监控，而不是事后审计，理由是日志回放救不了已经发生的动作。同期的调研数据也印证了：受访组织几乎都在用 AI，但只有 16% 拿到变革性价值，仅 12% 有自主智能体真正进了生产。

**能力曲线跑得比制度曲线快两个身位，中间那道墙是责任，不是智能。**出错谁赔、日志能不能追、权限怎么收，这三件事答不上来，能力再强也上不了线。