一个假的 Claude Code 插件竟然在官方市场活了 11 小时,最多超过 5000 台开发机被留了后门

10 月 29 日，Cursor 的扩展市场被曝出供应一份被篡改过的 Claude Code 插件。版本号 2.1.312 和 2.1.313，在市场里存在了约 11 小时，最多 5000 名开发者下载安装过。插件名字、图标、文档全都跟真的一模一样。

它做的事情是：收集你的用户名、Git 提交邮箱、主机名和公网 IP，然后往你的 SSH 授权文件里塞一把公钥，再试着建立反向连接。

Anthropic 很快澄清：这不是官方渠道被攻破，官方渠道的版本不受影响，受影响的只有从 Cursor 市场装的用户。

如果你在那天上午更新过 Cursor 里的 Claude Code 插件，现在去检查一下自己机器。

说人话：出了什么事

10 月 29 日，Anthropic 技术团队成员 Felix Rieseberg 发了一条说明：他们正和 Cursor 一起处理这件事，但这既不是 Anthropic 系统的失守，也不是员工笔记本被攻破。实际的路径是，攻击者拿到了 Cursor 市场的上传权限，发布了一份他们从未构建、也从未发布过的篡改副本。

第一份被安全厂商 Phorion 发现的是 2.1.313 版本，微软和 Aviatrix 随后各自做了独立分析。2.1.312 同样受影响。

暴露窗口是周四美西时间凌晨 2:27 到下午 1:35，约 11 小时。

11 小时里有几千台电脑装上了这个，你当时有没有觉得"更新一下挺快的"？

哪里不一样了

这不是又一个"AI 会写恶意代码"的故事。它是一起把品牌信任当分发渠道用的供应链攻击，而且攻击面选得极准。

Cursor 的市场是它自己运营的插件商店，Anthropic 的扩展是被同步进去的。攻击者用 Anthropic 的发布者身份把篡改版推上去，文件名一样，图标一样，README 一样。Anthropic 技术团队成员 Felix Rieseberg 的说法是：攻击者利用了 Cursor 市场的上传权限，发布了一个他们从未构建、也从未发布过的篡改副本。

恶意代码被塞在扩展的合法文件里，加载即执行，不需要用户点任何东西。技术上它是一个预置的 JavaScript 加载器。

三条横向对比能看出这次的分量。第一个是窗口长度：11 小时，在官方市场里挂着品牌名，足够让搜索推荐和自动更新把它推给几千个人。第二个是后果的物理性：SSH 授权文件里多了一把公钥，等于在自己家门上多配了一把别人手里的钥匙。第三个是清理的隐蔽性——卸载扩展不一定能清掉它留下的独立脚本。

一个官方市场里的插件，你为什么连来源都不用查？

几个容易忽略的细节

最该记住的一条：更新到最新版不能解毒。Cursor 自己的排查说明里写了，单纯卸载或升级扩展不一定移除已经落地的持久化文件。要去 `~/.ssh/authorized_keys` 里找带 `svc-telemetry` 注释的那一行，然后按官方给的清理脚本走一遍。

第二条，反向连接基本没成功，但不是因为攻击者手软。Aviatrix 的分析说，植入 SSH 隧道的脚本在 macOS 和 Windows 上都需要管理员权限，绝大多数情况下拿不到，所以隧道开不起来。可即便隧道失败，插件照样把主机信息和用户信息发到了外部服务器，也照样把攻击者的 SSH 密钥写进了文件。

第三条，被安装数量是"最多"。Cursor 的公告里用的是 at most 5000 这个口径，扩展是在周四美西时间凌晨 2:27 到下午 1:35 之间可下载的。

第四条，别把所有 AI 编程插件商店混为一谈。微软的分析明确说，没有证据表明 Microsoft 自己的扩展市场受到同一攻击。

你自己的机器上现在还有几个插件在跑？谁发布的，你还记得吗？

这跟你有什么关系

如果你在暴露窗口内从 Cursor 市场装过或更新过 Claude Code 扩展，接下来该做的事有顺序。

先断开。拔网线或者关掉 Wi-Fi，让任何还在跑的脚本连不上外网。

再取证。别急着删，先按 Cursor 公告里的脚本检查一遍，留一份现状记录，删完再想就难还原了。

然后换凭据。这台机器上如果登录过 GitHub、云控制台、内部系统，这些凭据都要当作已经泄露处理，重置。Anthropic 自己的立场是官方渠道没被碰，但你的机器被碰过。

第四件事是习惯。AI 编程工具的扩展现在能读你的代码、环境变量和本机文件，权限范围远超普通插件。

这四件事你打算今晚做还是明天做？

你现在能怎么用

如果没中招，改三个习惯就够。

一是插件来源只认两条路：官方文档里给出的安装命令，或者你自己确认过的仓库地址。搜索结果里排名靠前的第三方市场不等于可信。

二是给装扩展这件事设个节奏。不要跟着提示弹窗点更新，尤其是那种你根本不记得装过的东西。集中在一周里统一更新，比每次弹窗就顺手点掉更容易发现问题。

三是把 SSH 目录纳入你的月度检查清单。`~/.ssh/authorized_keys` 里每一行都应该对应一台你认识的机器，出现看不懂的就查。

需要提醒的是，AI 编程工具的插件生态目前还处在没有代码签名和来源校验的阶段，这是整个行业的现状，不是 Cursor 一家的问题。

你觉得下一个会出事的是哪个插件市场？

我的看法

这次攻击最值得注意的地方，是它几乎不需要技术。

找一份真实的开源扩展，复制它的元数据，改掉其中一个 JavaScript 文件，推到市场，等 11 小时。整个过程不需要破解任何签名，因为这些市场当时不要求签名。攻击者赌的不是技术，是用户不会问"这个插件谁发布的"。

另一层是 AI 编程工具放大了这个赌注的赔率。普通浏览器扩展拿到的是书签和浏览历史，AI 编程扩展拿到的是代码库、终端环境变量、SSH 密钥、云凭据。攻击者的投入产出比在 AI 编程工具普及之后完全不同。

Anthropic 那句"不是我们被攻破了"在技术上完全成立，但它也顺手提醒了一件事：分发渠道的责任和品牌厂商的责任，现在被市场机制混在了一起。

你觉得该由谁来给这些扩展做签名背书？

最后聊一句：这几篇里你最想看哪一篇的后续，或者你有什么不同看法，评论区说出来，我挑有代表性的写进下一期。觉得有用的话，点一下「在看」，能让更多人看到。

CursorClaude Code供应链攻击开发者安全插件市场