2026年10月29日，Cursor 在官方博客发布安全公告：其 VS Code 扩展市场出现被篡改的 Claude Code 扩展 Anthropic.claude-code 2.1.313 版，该版本并非 Anthropic 开发，会尝试在本机安装持久化 SSH 后门。Cursor 称最多 5000 名用户受影响，并将直接联系受影响用户。在暴露时间段内装过该版本的用户，应先自查，再决定是否重建主机。
恶意版本做了什么
该版本于 2026 年 10 月 29 日太平洋时间 2 时 27 分至 13 时 35 分上架，约 11 小时后撤下。Cursor 披露，它会收集主机名、用户名、操作系统、主目录路径、环境变量名、工作目录、Git 邮箱和公网 IP，随后尝试把攻击者 SSH 公钥写入 authorized_keys，开启本地 SSH 服务并打开反向隧道，再用 LaunchAgent（macOS）或计划任务（Windows）保持持久，并上报主机信息与后门状态。
关键限定是：开启本地 SSH 服务需要管理员权限，而恶意代码存在错误，在大多数 macOS 和 Windows 主机上这一步会失败，攻击者通常无法直接通过隧道登录。但密钥仍可能被写入，持久化脚本仍可能装上，主机信息仍可能已上报，受影响用户仍须按修复流程处理。Cursor 强调结论只针对这一个包，没有证据表明其他版本或官方渠道受影响，攻击者服务器已下线。
装过 2.1.313 版，先这样自查
先查 authorized_keys 里有没有攻击者密钥，标记为 svc-telemetry。macOS 可运行以下命令：
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"
Windows 用户用 PowerShell 在两个 authorized_keys 文件中搜同一标记。查到即确认受影响：隔离主机，用官方修复脚本清除扩展、持久化机制、隧道进程和攻击者密钥，评估是否重建主机，并在可信设备上轮换相关凭据与会话。只卸载扩展不够，载荷会留下独立运行的持久化脚本。
Cursor 采取了哪些措施
发现后，Cursor 立即下架该版本并阻止继续分发，随后出于谨慎关闭了整个 VS Code 扩展市场，审计确认没有其他扩展被篡改，轮换密钥并重建市场后重新上线。随后 Cursor 在官方账号说明中要求用户把 Claude Code for VS Code 升级到 2.1.314 版。
教训在分发环节：扩展市场一旦被植入篡改包，只看扩展名无法分辨。装扩展时多看一眼版本号与来源，遇官方安全公告先自查，比事后清理省事。
