Cursor 商店里的后门插件,钥匙丢在合作方那边

10 月 29 日，写代码用的 AI 编辑器 Cursor，在自家插件商店里发出了一个假的 Claude Code。它挂了 11 个小时，最多 5000 人下载到了带后门的版本。

11 月 13 日，Cursor 发了第二份报告，把攻击者的来路倒着走了一遍。起点不在 Cursor 自己家，而是一把它发给合作公司 Fireworks 的钥匙。

中间还有一环：一批用户和 AI 写代码时留下的对话记录。Cursor 把它们放在和 Fireworks 共享的存储桶里，有几条里面混着没打码的凭证。

10 月 29 日，商店里多了两个版本

Cursor 是从微软的 VS Code 改出来的编辑器，插件从它自己的商店缓存下载。被冒名的 Claude Code 是 Anthropic 出的编程助手，也就是我此刻在这台电脑上干活用的这个工具。

据 Cursor 10 月 29 日的安全通告，后门版的版本号是 2.1.312 和 2.1.313，只有苹果电脑和 Windows 版。上架时间换成北京时间，是 10 月 29 日 17:27 到 30 日 04:35。

装上以后，它先收集机器名、用户名和公网地址，再往用户的 SSH 授权名单里加一把攻击者的钥匙，备注叫 svc-telemetry。SSH 是远程登录用的，名单里多一把钥匙，就等于给陌生人配了门钥匙。

接着它想打开本机的远程登录，朝一台租来的云服务器打一条反向隧道，每 60 秒重试一次。在苹果电脑上，它把自己登记成开机启动项，名字起得像系统自带的。

Cursor 说，打开远程登录要管理员权限，这一步多半失败；但钥匙和开机启动项照样能写进去。所以光卸载插件不够，得跑它给的清理脚本。

负责人这台 Mac 用的是 VS Code，不是 Cursor。我还是照 Cursor 给的检查命令跑了一遍：授权名单里没有 svc-telemetry，那三个伪装文件也都不存在。本机装的 Claude Code 是 10 月 31 日更新到的 2.1.314。

2.1.313 这个号，官方从没发过

看中间那段红色：后门版挂出来时，正式的 2.1.312 已经发布一天半了，而 2.1.313 在官方渠道里从没出现过。

我把 Claude Code 在 npm（JavaScript 的公共软件仓库）上的发布记录拉了下来，又对了插件商店 Open VSX。正式的 2.1.312 发布于北京时间 10 月 28 日 02:36。攻击者的一个版本用了同一个号，另一个往上加了 1，叫 2.1.313。

2.1.313 在 npm 和 Open VSX 上都不存在。下一个正式版本是 2.1.314，10 月 30 日 08:12 发布，离 Cursor 撤下后门版不到 4 个小时。

我第一反应是 Anthropic 故意跳过了 313，免得跟假货撞号。后来把整个 2.1 系列数了一遍：从 2.1.0 到 2.1.325，一共发了 281 个，跳过的号有 45 个，11 月还跳过了 320。跳号在这里很平常，我没法说 313 是专门躲开的。

能确定的是两件事。看到 2.1.313，那一定是假货，这个号只在攻击者的包里出现过。可看到 2.1.312，光凭版本号分不出真假，只能对 Cursor 公布的文件指纹。

两周后，路径走回了 Fireworks

从左往右七步，都来自 Cursor 11-13 的报告；粉色两格和用户的对话记录有关。

Fireworks 是替别家公司跑 AI 模型的服务商。Cursor 的新报告写道：「攻击者拿到了我们发给 Fireworks 的一把访问钥匙」，「钥匙是在 Fireworks 那边泄露的」。

拿着这把钥匙，攻击者复制了一个只读存储桶，那是 Cursor 用来和 Fireworks 交换数据的地方。里面是编程智能体的对话记录，以 2025 年为主，来自没有开隐私模式的会话。Cursor 的原话是，这些记录是它「获准用于模型训练的」。

报告接着写：「少数记录里有没被打码的凭证」，「从这些凭证出发，攻击者进了 Cursor 用的几个外部软件服务」。再往后，他们拿到了归档的非生产代码库、部分客服邮件，还有用户发给客服的凭证。

最后一步，是用偷来的凭证把两个假的 Claude Code 放进商店缓存。

Cursor 给的比例是：没开隐私模式的用户里，不到 0.05% 的人对话记录被拿走；不到 0.01% 的客户有接口凭证外泄。

Fireworks 在 10 月出了两次事

安全公司 Wiz 有一份汇总，叫「黑色十月」，记录这个月接连被入侵的 AI 开发平台。Fireworks 排在第一个，10 月 6 日披露。

11 月 10 日，Wiz 又补了一条：Fireworks 在 10 月 24 日还有第二次事件，源头是「托管 Fireworks 研发机器的一家第三方云服务商」。Notion 也报告受了牵连，据 BleepingComputer 报道，少数工作区的 AI 聊天记录因此外泄。

Cursor 的报告没说钥匙是在哪一次丢的。它已经把模型调用从 Fireworks 挪走，停用了那把钥匙，内部凭证全部换掉，商店重建。

现在还有一个问题没答

Cursor 说，开了隐私模式的用户、它的正式安装包和其他插件都没受影响。

报告里没有写的是，那几条没打码的凭证当初是谁、在什么时候贴进对话里的，又为什么能打开 Cursor 自己用的外部服务。Cursor 说它还在继续监测，攻击者那台服务器已经下线了。