漏洞概述

近日，AI编程工具Cursor插件市场发生一起严重供应链安全事件。Anthropic旗下Claude Code插件的恶意修改版本在市场中传播约11小时，可能使多达5000名开发者面临恶意软件风险。

攻击者在插件中植入JavaScript恶意代码，收集主机信息、写入攻击者控制的SSH公钥，并建立持久化远程访问通道。Cursor确认受影响版本为2.1.312和2.1.313，强调恶意版本并非Anthropic官方开发。

虽然恶意代码存在缺陷，部分远程入侵可能未成功，但持久化机制已留下后门。此次事件凸显出AI编程助手及开发插件正在成为软件供应链攻击的重要入口。

漏洞概述

Cursor是目前最流行的AI代码编辑器之一，内置了Claude Code、GPT-4o等AI编程助手。开发者通过插件市场安装扩展，就像手机装App一样方便。

但问题在于：插件市场的审核机制，远没有应用商店那么严格。一个插件能不能上架，很大程度上靠平台事后巡查，而不是事前审计。

这就给了攻击者可乘之机——仿冒热门官方插件，投毒后短时间内批量传播，等平台发现下架，攻击已经完成了初始植入。

攻击原理

这次攻击的技术逻辑不复杂，但选点非常精准。

打个比方：你信任一个官方App，装了之后发现多了个隐藏功能——它悄悄在你家门锁上配了把钥匙，钥匙还藏在你找不到的地方。哪天你发现不对劲把App卸了，钥匙还在，人家想什么时候进来都行。

攻击者在插件里干了三件事：

第一，摸家底。收集开发者设备的系统信息、环境配置，为后续攻击做情报准备。

第二，配钥匙。往SSH的authorized_keys文件里写入攻击者控制的公钥。这意味着攻击者可以绕过密码验证，直接以合法身份登录这台开发者机器。

第三，留后门。SSH公钥是持久化的——就算你把插件卸了，那把"钥匙"还在文件里，攻击者随时能重新接入。

这就是典型的供应链投毒攻击：不直接打你的服务器，而是污染你天天在用的开发工具，借你的手把后门带进企业内网。

自查清单

1. 用Cursor编辑器、且安装了Claude Code插件的，版本号为2.1.312或2.1.313的，立即排查。

2. 不仅要卸载恶意插件，还要检查SSH authorized_keys文件中是否存在陌生公钥。

3. 检查设备上是否有异常进程、异常出站连接或未知计划任务。

4. 开发者机器上存储的代码仓库凭证、云服务密钥、数据库连接串，均视为可能已泄露。

官方回应

Cursor已确认并下架恶意版本，发布声明强调：恶意版本并非Anthropic官方开发，属于第三方篡改或仿冒的投毒行为。

目前官方暂未发布更详细的技术分析报告，但已建议开发者升级至最新版本，并检查本地SSH配置。

防御建议

在无法完全确认安全的情况下，建议采取以下措施降低风险：

1. 立即卸载受影响版本插件，升级至官方最新版，并轮换所有可能已泄露的SSH密钥和访问凭证。

2. 将AI编程助手及其插件市场纳入企业软件供应链安全治理范围，不再只盯着开源依赖扫描。

3. 开发者本地环境执行最小权限原则，SSH密钥、云凭证、数据库连接尽量使用短期凭证和权限隔离。

4. 安装插件前核验发布者身份、下载量、更新频率和社区反馈，"官方"标签不等于经过安全审计。

数盾奇安（河南）科技有限公司作为中部地区网络安全服务领域新锐企业，以 “客户为中心、技术为引擎、服务为基石” 为核心理念，依托软件供应链安全检测、数据安全分类分级、一体化安全运营三大核心平台，深耕政务、通信、制造、科技互联网及关键信息基础设施单位等多领域，提供定制化安全服务与全流程合规支持。公司坚守 “以服务为核心竞争力” 的发展定位，凭借专业高效的安全解决方案与细致周全的服务体验，助力客户筑牢安全防线、实现合规发展，同时锚定区域数字经济大局，持续为河南乃至中部地区产业数字化转型注入安全动能。

扫码 关注我们