10 月 30 日，独立安全研究员 Kevin Beaumont 和 Phorian 安全公司同时披露：Anthropic 官方发布的 Claude VS Code 扩展，在 Cursor 的插件市场上被投毒，恶意版本运行了将近 12 小时，波及最多 5000 名开发者。更让人不安的是——Anthropic 至今没有向客户发出任何公开通知。
这不是普通的第三方插件被投毒。恶意代码挂的是 Anthropic 自己的官方账号，也就是说，攻击者拿到的是官方分发渠道的控制权。
事件时间线：12 小时，两个版本号
根据 Phorian 联合创始人兼 CTO Luke Roberts 向 Ars Technica 的说法，这是一次典型的供应链攻击：恶意版本 2.1.313 被直接发布到 Anthropic 的官方账号下，”实际上取代了 2.1.312″。Cursor 的扩展默认开启自动更新，用户可以自己在设置里关掉——但绝大多数人不会关。
Anthropic 在恶意版本上线数小时后推送了 2.1.314。受影响的时间窗是美东时间周四上午 5:27 到下午 4:35。也就是说，任何在这 11 个小时内安装、更新或自动更新过该扩展的设备，都应该视为已受影响。
截至发稿，Cursor 和 Anthropic 都没有解释攻击者到底是怎么拿到官方账号控制权的。两家公司都拒绝对此置评。
后门具体做了什么
Cursor 官方披露的能力清单相当直接——恶意扩展会尝试安装一个持久的 SSH 后门：
- 向目标机器写入攻击者控制的 SSH 公钥；
- 启用本机 SSH 服务；
- 建立一条反向 SSH 隧道，让外部可以穿过防火墙连进来；
- 代码同时适配 Windows、macOS 和 Linux 三套系统。
关键在于权限。Cursor 的扩展是以 IDE 本身权限运行的，一旦装上，本机文件、源代码仓库、开发工具链全在可访问范围内。对开发者来说，这几乎等于把整台工作机连同所有云凭据交出去。
Phorian 的分析补充了动机层面：恶意代码会专门窃取环境变量名，攻击者据此快速清点设备上存了哪些云平台凭据和 API token，再决定后续优先攻击哪几台机器。这种”先侦察再挑目标”的写法，说明是有组织的入侵，不是随手投放的脚本。
一个细节值得注意：Windows 和 macOS 版本的恶意代码本身有 bug，部分场景下后门没能真正生效。但 Phorian 强调，即便有编码缺陷，”恶意软件仍然是重大威胁，它会安装持久化机制，并把主机侦察信息回传给操作者”。
应急响应做了什么，没做什么
Cursor 的动作算快：与反向 shell 所在服务器的云厂商协作切断了回连路径，从市场下架恶意版本并阻断进一步分发，还临时关闭了整个 VS Code Marketplace 用于轮换密钥、审计访问控制，确认没有其他扩展被污染，现在市场已重新开放。
没做的是通报。Anthropic 至今没有向客户发出公开警告，也没有解释入侵路径。对一家刚刚递交 S-1 上市申请的公司来说，这个沉默很容易被解读成法务驱动的谨慎——但代价是那 5000 名开发者可能至今不知道自己装过什么。想了解 Anthropic 上市这条线的背景，可以看我们之前的 Anthropic 递交 S-1 拆解。
现在该做什么：一份自查清单
如果你用 Cursor 或 VS Code 写代码，并且这两周装过 Anthropic 的官方扩展，建议按下面顺序走一遍：
- 查 SSH 授权文件：检查
~/.ssh/authorized_keys（Windows 在C:\Users\你的用户名\.ssh\authorized_keys）里有没有你不认识的公钥； - 查 SSH 服务状态：Windows 上确认 OpenSSH Server 是不是被意外开启；macOS 上检查”远程登录”是否被打开；
- 查异常外连：比对 Cursor 和 Phorian 公布的影响指标（IP 地址与文件哈希），看本机有没有对应记录；
- 轮换密钥：只要时间窗内装过，就把云平台 Access Key、GitHub token、CI 凭据全部换掉，别赌概率；
- 关掉扩展自动更新：这是唯一能让你在下一次供应链投毒里”慢一步”的设置。
这类事件不是孤例。我们此前写过 Anthropic 开源扫描器被滥用 和 Qwen3.8-Flash-Next 往境外传文件，共同点是：AI 编程工具正在获得越来越高的系统权限，而权限越高，供应链上一个环节失守的后果就越重。智能体安全平台 这类产品近半年密集出现，本质上就是在补这个洞。
这件事真正的教训
大部分开发者对”官方扩展”有天然的信任假设——官方账号发的、市场首页推荐的、自动更新的，就等于安全。这次事件把这个假设打穿了：官方账号可以被接管，自动更新会把恶意版本送到你机器上，而且整个过程在 12 小时内可能都没人发现。
对整个 AI 编程工具赛道来说，还有一个更现实的问题：当 IDE 扩展、MCP 连接器、Agent 运行时都在争取更多权限时，谁来为”权限”背书？Cursor 深度评测 里我们聊过它的产品优势，但这次事件提醒的是另一面——工具越深度集成，出问题的面也越大。
常见问题（FAQ）
我没有装 Anthropic 的 VS Code 扩展，会受影响吗？
不会。这次被投毒的是 Anthropic 在 Cursor 市场上的那一个扩展包，影响范围限定在安装或自动更新了 2.1.313 版本的设备上，官方说法是”最多 5000 名用户”。
2.1.314 就是安全版本吗？
Cursor 和 Anthropic 都把 2.1.314 作为修复版本推送，恶意版本已被下架。如果你的扩展已经是 2.1.314 或更高，后门代码不在本机；但如果曾在时间窗内运行过 2.1.313，机器上可能残留 SSH 公钥和持久化配置，仍需手工清查。
为什么 Claude 的扩展会出现在 Cursor 的市场上？
Cursor 基于 VS Code，兼容其扩展生态，各家 AI 厂商会在上面发布官方扩展以支持自家模型。这也意味着 Cursor 市场成了一个新的高价值攻击面——一次账号失守，就能同时影响大量开发者。
Anthropic 不通知用户，合规吗？
目前没有公开信息表明这次事件触发了强制披露义务，各司法辖区对软件供应链安全事件的通报要求差异很大。但对开发者而言，等待厂商通知不是策略——主动自查和轮换凭据才是。
怎么降低以后被类似攻击影响的风险？
三件事：关闭扩展自动更新，改为手动确认；把开发机的凭据按最小权限拆分，别把生产环境密钥放在本地；给 IDE 和终端加上出站流量监控，异常的反向 SSH 连接是最好识别的信号。
总结
12 小时的窗口、5000 台设备、一个官方账号——这次投毒事件的量级不算最大，但意义很明确：AI 编程工具的供应链，已经是有组织攻击者的正式目标了。厂商的沉默不该成为开发者的沉默。
想发现更多好用的 AI 工具？查看我们的 AI 模型库 与 工具对比引擎，或继续阅读：AI 安全工具盘点 · 1Password for Agents 智能体登录 · OpenAI Agents 用户图片泄露。