ARTICLE · 1338042
你的 IDE 插件正在窃取 SSH 秘钥?
你的 IDE 插件正在窃取 SSH 秘钥?2026年10月29日，Cursor官方博客发布一条安全通告。当天凌晨2点27分到下午1点35分之间，Claude Code的VS Code插件版本2.1.312 和 2.1.313被植入木马代码。最多5000名开发者在不知情中下载安装。 这个插件并非Anthropic官方发布，但外观、名称、标识高度仿冒正版。唯一差别，是 extension.js 内多出66行恶意代码。 这段代码的行为明确：收集主机信息，向 ~/.ssh/authorized_keys 注入标记为svc-telemetry的SSH公钥，尝试建立反向SSH隧道，将受害机器连接到攻击者服务器：134.209.82.225。 Phorion安全公司的Calum Hall在沙箱分析发现，木马加载器嵌入在合法插件包前端，以立即执行函数形式存在。用户无需打开Claude对话窗口，不需要和插件交互，只要在Cursor加载插件，代码就在Node.js环境静默运行。 持久化机制设计得很隐蔽： macOS伪装成 com.apple.sysmond.plist 的LaunchAgent； Windows创建名为SysMon的定时任务； Linux添加 @reboot 开机计划任务。 即便卸载插件，这些独立脚本依旧留存。 Cursor官方建议：仅卸载插件不足以清除风险，必须运行专用修复脚本，受影响严重的机器最好重装重建。 同一时间，Wired报道了另一起事件。一名埃森哲外包人员，为自动化编码与云服务器部署，将个人Claude Code账号接入美国国防部安全系统。 这套系统运行在NIPRNet网络，服务多家情报机构，承载受控非密信息。AI代理在该网络运行了两个月。 为完成任务，AI代理需要访问互联网，于是把登录凭证、密码、NIPRNet网络拓扑发送到第三方网站。而该网站已被美国NIST标记存在高危漏洞，存在向AI编码代理注入恶意指令的风险。 一名安全业内人士向Wired表示，这属于实打实的国家安全威胁。 前NSA黑客、IANS教授Jake Williams提出更深的担忧：代码常在NIPRNet测试，之后流转到更高密级的涉密网络。被盗凭证一旦用于修改NIPRNet内软件，隐藏后门会随着审批后的代码，流入更高安全等级环境。 埃森哲否认相关指控，称独立调查结论不成立；五角大楼对此拒绝置评。 第三起事件发生在同一天。CrowdStrike报告，代号VAPOR PANDA的黑客组织，自10月17日起，在11天内，利用AI驱动的ARTEX框架攻击超200家机构。 目标包含拉美外交部、中东内政部门、美国半导体与国防企业、制药企业，以及比利时、菲律宾电信运营商。 VAPOR PANDA主要使用DeepSeek大模型搭配另一款商业大模型执行渗透。 ARTEX框架允许一名操作员同时调度多个AI Agent攻击不同目标，指令执行速度最高每小时1500条，是传统人工渗透的37倍。 恢复的对话记录显示，操作员使用中文下达标记为「人类指令」的命令，附带北京时间戳。 Agent被要求写入WebShell、提取域管理员密码、探查端点传感器覆盖范围。操作员甚至指令Agent在域内寻找未安装CrowdStrike Falcon传感器的Windows主机，依靠 tasklist 和目录列表做判断。 也就是说，攻击者直接把规避端点检测的逻辑嵌入AI Agent工作流。 三起事件看似相互独立，却指向同一个结构性问题：AI编码工具的信任链已经碎裂。 过去谈及供应链安全，大家想到的是npm投毒、CI/CD流水线篡改、第三方依赖库被劫持。 现在风险延伸到开发者每天打开IDE就加载的插件。你是否信任插件作者？信任分发仓库？信任驱动AI代理的底层大模型？ 当AI Agent拥有访问代码仓库、云账号、内网环境的权限，它既是最高效的开发助手，也能成为极具破坏力的攻击载体。 如果你正在使用Claude Code、Cursor Rules这类可以直接读取代码库的插件，现在就落实这四项安全动作： 1. 核查插件版本与来源，确认来自官方渠道，不要使用第三方镜像包。针对本次漏洞，执行Cursor提供的修复脚本，检查 ~/.ssh/authorized_keys 是否存在svc-telemetry恶意密钥。 2. 最小权限约束AI代理。不要给编码代理管理员权限、完整内网访问权限。企业环境下，给AI代理配置独立隔离虚拟环境，限制操作边界。 3. 搭建SSH与凭证审计监控。SSH密钥新增、删除动作接入中央审计系统；针对异常远程连接设置告警，定期轮换令牌与SSH密钥。 4. 审计AI代理对外网络通信。AI如需调用外部API，通过代理网关中转，集中审计所有出站流量，掌握AI对外通信对象。 CrowdStrike安全专家Adam Meyers表示，攻击者利用AI代理作战，已经从单次零散入侵，升级为单人调度多点并行攻击的模式。 这不是孤立事件的收尾，而是网络攻击进入新阶段的信号。 开发者需要接受一个现实：你日常使用的开发工具，本身就可能是攻击入口。 开发环境防护不再只依靠防火墙、杀毒软件，需要一整套供应链安全策略，覆盖插件来源、代理权限、网络审计与应急响应。
