ARTICLE · 1301217
Cursor 插件市场惊现＂投毒＂:恶意 Claude Code 扩展偷装后门,3 分钟自查你的电脑
上周四，AI 编程工具 Cursor 的插件市场里出现了一个假的 Claude Code 扩展——不是 Anthropic 官方出品，而是被人篡改过的"投毒"版本。它会收集你的主机名、公网 IP、Git 邮箱，还试图装 SSH 后门。先别慌：攻击者服务器已被下线，后门在绝大多数电脑上也没装成。这篇给你 3 分钟自查清单，和 5 条对所有 AI 工具都适用的防护建议。
🛡️ 一、发生了什么
10 月 29 日（北京时间 29 日傍晚至 30 日凌晨），Cursor 的 VS Code 扩展市场上出现了恶意版本的 Anthropic.claude-code 扩展，涉及 2.1.312 和 2.1.313 两个版本号，只影响 Windows 和 macOS。以下信息来自 Cursor 官方安全公告。
这个恶意版本主要干了三件事：
1️⃣ 偷信息：收集并上传主机名、用户名、操作系统、CPU 架构、家目录路径、工作目录、环境变量名、Git 邮箱、公网 IP；
2️⃣ 装后门：尝试往你的 SSH 配置里塞一个攻击者控制的密钥，再开一条反向隧道，让攻击者远程连上你的电脑；
3️⃣ 求生存：给自己写开机自启脚本，每 60 秒重试一次连接。
万幸有两点：一是装后门这步在大多数电脑上失败了——一方面恶意代码本身有 bug，另一方面开启 SSH 服务需要管理员权限，而绝大多数人并不会用管理员权限启动 Cursor；二是 Cursor 已联合云服务商把攻击者服务器下线，反向隧道和信息上传都已失效。
据 The Verge 报道，约有 5000 人可能装过这个恶意版本。Cursor 的处置算快：下架恶意扩展、彻底关闭并重建整个插件市场、轮换了内部密钥，并确认其他扩展没有被篡改。
▲ 一条命令就能自查是否中招
🔍 二、3 分钟自查：你的电脑中招了吗
先确认时间窗口：只有在 10 月 29 日（北京时间 29 日 17:27 至 30 日凌晨 4:35 左右）从 Cursor 插件市场安装或更新过 Claude Code 扩展的，才需要检查。其他时间安装的不受影响；官方也声明没有证据表明其他版本和官方分发渠道被波及。
检查方法很简单——恶意扩展会往 SSH 配置里写入一个标记为 svc-telemetry 的密钥，查它就行。macOS / Linux 用户，打开终端，粘贴这一行回车：
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "中招了" || echo "没有发现，电脑不受影响"
Windows 用户，打开 PowerShell，粘贴这段回车：
$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ } if ($files -and (Select-String svc-telemetry $files)) { "中招了" } else { "没有发现，电脑不受影响" }
显示"没有发现"：恭喜，可以安心了，顺手转发给用 Cursor 的朋友。显示"中招了"，按顺序做这 4 件事：
① 别只卸载扩展——官方明确说卸载不够，恶意脚本会独立残留，继续每 60 秒重试连接；② 跑官方清理脚本：Cursor 公告页提供了 macOS 和 Windows 的清理脚本，能自动删掉恶意扩展、持久化脚本、隧道进程和攻击者的 SSH 密钥（地址见文末来源）；③ 从干净的设备改密码：Git 平台、云服务、浏览器里保存的账号，都换一遍密码和令牌；④ 公司电脑中招的话，第一时间报给 IT/安全团队，必要时重装系统。
💬 官方公告原话：Uninstalling the extension may not be sufficient——卸载扩展可能不够，恶意脚本会独立残留在系统里。所以第 ② 步别省。
🎯 三、为什么 AI 工具成了新靶子
这次事件本质上是一次供应链攻击——和 npm 上被人塞恶意代码的"投毒"包是同一个套路：你信任的是平台，攻击者污染的是平台里的货。
但 AI 编程工具让这个问题变得更严重了：第一，AI 工具的权限太大了。传统软件插件顶多读写自己的数据，而 AI 编程助手为了帮你干活，能读你的整个项目目录、执行命令行、访问网络。攻击者拿到一个入口，约等于拿到你的整台开发机。
第二，我们正在被训练得越来越"随手授权"。装个插件、加个 MCP、给 Agent 开个权限，全程点几下就完事。方便是真方便，但"确认"这个动作做得多了，警惕性也就磨没了。这次装了恶意版本的约 5000 人里，恐怕没有一个是主动想装恶意软件的。
▲ AI 编程工具权限越来越大，安全边界也要跟上
✅ 四、5 条保命建议（不只针对 Cursor）
1️⃣ 只从官方源安装。同一个扩展，可能同时出现在 Cursor 市场、VS Code 市场、GitHub 上，认准官方发布渠道。这次出事的只是 Cursor 市场里的被篡改版本；官方称没有证据表明官方分发渠道受影响。
2️⃣ 装之前看三样东西：发布者、版本号、更新时间。投毒版本的惯用手法是紧跟官方版本号发布（这次是 2.1.312/2.1.313）。看到扩展在极短时间内连发新版本，多留个心眼。
3️⃣ 永远别用管理员权限跑日常工具。这次后门没装成，很大程度上就是因为多数人没用管理员权限启动 Cursor——权限给得小，攻击断得早。
4️⃣ 每月查一次 SSH 密钥列表。后门最爱藏在 authorized_keys 里。macOS/Linux 用户把第二节那条 grep 命令存下来，定期跑一次，10 秒钟的事。
5️⃣ 环境变量里不要放生产密钥。这次恶意软件收集了"环境变量名"。养成习惯：密钥放密钥管理工具里，需要时再注入，别长期明文躺在 .env 文件和系统变量里。
这次算是有惊无险：服务器被及时下线，后门大多没装成，信息泄露范围也有限。但下一个未必这么走运。AI 工具越自动、权限越大，"随手装一个"的成本就越高。觉得有用的话，转发给那个天天用 Cursor 写代码的朋友。
来源：Cursor 官方安全公告（cursor.com/blog/claude-code-extension-security-notice）；The Verge 报道（2026-10-30）；官方清理脚本 remediate-macos.sh / remediate-windows.ps1 见公告页文末。
工具越自动，把关越要手动
