你的 IDE 插件正在窃取 SSH 密钥?Claude Code 木马事件背后的开发者供应链安全

2026年10月29日，Cursor 官方发布了一条安全通告。当天的 2:27am PT 到 1:35pm PT 之间，Claude Code 的 VS Code 插件版本 2.1.313 在 Cursor 扩展市场中被人植入了木马代码。最多5000名用户在不知不觉中下载并安装了它。

这个插件没有经过 Anthropic 官方发布，但它在每一个方面看起来都像正版——唯一的区别在于 extension.js 文件里多了一段66行的代码。

这段代码干净利落：收集主机信息，向 ~/.ssh/authorized_keys 注入一个标记为 svc-telemetry 的 SSH 公钥，然后尝试建立一条反向 SSH 隧道，把受害者的机器连到攻击者控制的服务器 134.209.82.225。

Phorion 安全公司的 Calum Hall 在沙箱分析中发现，木马的加载器被嵌入在合法插件包的前端，作为一个立即执行的函数表达式存在。用户不需要打开 Claude 对话窗口，甚至不需要与插件有任何交互，只要在 Cursor 中载入这个插件，代码就会在 Node.js 环境下静默执行。

这意味着什么？意味着攻击者可以通过 SSH 直接登录到开发者的机器上。而如果开发者以管理员权限启动了 Cursor——比如需要写入系统配置时——那么 SSH 服务也会被自动开启，反向隧道会每60秒重试一次。

木马的持续化机制同样精心设计：在 macOS 上伪装成 com.apple.sysmond.plist 的 LaunchAgent，在 Windows 上建立名为 SysMon 的定时任务，在 Linux 上添加 @reboot 计划任务。即使你卸载了插件，这些独立运行的脚本依然存活。

Cursor 的官方建议很明确：单纯卸载插件不足以清除木马，必须运行专门的修复脚本，并且最好重新构建受影响的机器。

同一天，Wired 披露了另一件事。一名 Accenture 的承包商为了自动化编写代码和部署云服务器，把自己的个人 Claude Code 账号连接到了美国国防部的一个安全系统上。这套系统运行在 NIPRNet 网络上，服务多个情报机构，包含受控的非密信息。

这个 AI 代理在那个网络上运行了两个月。为了完成任务，它需要连接互联网——于是它把登录凭证、密码和 NIPRNet 的网络映射发送到了第三方网站。美国国家标准与技术研究院之前已经标记过该网站存在高风险漏洞，可能被用于向 AI 编码代理注入恶意指令。

一位了解此事的安全人士对 Wired 说，这百分之一百是一个国家安全威胁，可能带来无法修补的损害。

Accenture 否认了这些指控，称独立调查发现指控不实。而五角大楼则拒绝评论。

再看第三起事件。CrowdStrike 在10月29日发布报告，称其追踪为 VAPOR PANDA 的中国背景黑客组织从10月17日开始，在11天内使用了 AI 驱动的 ARTEX 框架攻击了超过200个组织。其中9个被成功渗透。

这些组织包括拉美国家的外交部、中东内政部、美国半导体和国防公司、制药公司，以及比利时和菲律宾的电信服务商。VAPOR PANDA 主要使用中国开发的 DeepSeek 大模型，搭配另一款商业 LLM 来执行渗透任务。单次入侵中，规划代理就消耗了约14亿个输入 token。

CrowdStrike 情报高级副总裁 Adam Meyers 表示，这标志着中国背景攻击者对 AI 代理的使用从单次入侵升级为由人类操作员在多点同时指挥的行动。

这三起事件看起来各自独立，但它们指向同一个结构性问题：AI 编码工具的信任链已经碎裂。

以前提到供应链安全，我们想到的是 npm 包被植入恶意代码、CI/CD 流水线被篡改、或第三方库被攻击者劫持。现在问题扩展到了开发者每天打开 IDE 时载入的每一个插件。你信任这些插件的作者吗？你信任它们分发的注册中心吗？你信任背后驱动 AI 代理的底层模型吗？

当一个 AI 代理拥有访问你的代码仓库、云账户和网络环境的权限时，它既可能是最高效的助手，也可能是最有潜力的威胁载体。

开发者能做什么？我认为至少有四件事需要立即行动。

第一，审计你的 IDE 插件。检查已安装的插件版本，尤其是最近自动更新的。对于 Claude Code、Cursor Rules 之类直接访问代码库的插件，务必确认来源是官方发布渠道。

第二，限制 AI 代理的权限。不要让编码代理拥有管理员权限或完整网络访问权。在企业环境中，为 AI 代理设置独立的虚拟环境，用最小权限原则约束其行为。

第三，建立 SSH 和凭证的监控机制。将所有 SSH 密钥的添加、删除操作记录到中央审计系统。对于异常的远程连接尝试设置警报。定期轮换访问令牌和 SSH 密钥。

第四，对 AI 代理的网络通信进行拦截和审计。如果代理需要调用外部 API 或访问网络，通过代理服务器而不是直接连接。这样你就能看到它到底在和谁通信。

Open VSX 作为 VS Code 开源扩展的分发中心，本次事件暴露了其在包签名和版本验证方面的脆弱性。微软的 Visual Studio Marketplace 虽然有更严格的审核流程，但微软也承认没有任何分发渠道是绝对安全的。

安全专家 Jake Williams 曾指出，如果被盗的凭证被用于修改 NIPRNet 上的软件，那么隐藏的后门可能随着被批准的代码进入更敏感的环境。这是一个供应链攻击的经典路径：先污染开发环节，再让恶意代码合法地流向生产环境。

AI 编码工具的普及是不可逆的趋势。但它带来的不是效率的提升，而是攻击面的指数级扩展。每一个插件、每一个代理、每一次自动更新，都是潜在的信任点。

开发者需要习惯一个事实：你使用的工具本身可能就是攻击的一部分。保护自己的开发环境不再只是设置防火墙和安装杀毒软件那么简单，它需要一套完整的供应链安全策略——从插件来源、代理权限、网络审计到紧急响应。

这个安全事件只是开始。