2026年10月30日，安全研究员 Kevin Beaumont 在运行 v4.7.4 版本的 Mastodon 实例 cyberplace.social 上转发了一条指向官方 Claude Code 扩展后门的动态，迅速在开发者社区引发恐慌。交叉核实多家安全机构与平台公告后可以确认，真正沦陷的并非 Anthropic 官方代码库，而是第三方 AI 原生 IDE 的插件分发链路。太平洋时间2026年10月29日凌晨 2:27 至下午 1:35 期间，Cursor 扩展市场分发了被恶意篡改的 Anthropic.claude-code 扩展 2.1.313版本，在约11个小时的窗口期内 最多波及5000名用户。
这场风波戳破了 AI 编程工具生态的一层窗户纸。开发者习惯在 Cursor 等 VS Code 分支工具里一键安装带有官方前缀的插件，默认其安全性等同于上游厂商。实际上，第三方 IDE 维护的独立扩展市场在签名校验与上架审核上存在温差，让攻击者得以借官方名义把后门直接塞进开发者的高权限终端。
攻击者代码报错救了普通用户，但仅卸载插件无法清毒
Cursor 官方安全公告明确指出，2.1.313 恶意版本并非由 Anthropic 开发，目前没有任何证据表明 Anthropic 官方分发渠道或其他版本受到影响。攻击者将后门藏在了扩展包 extension.js 的恶意加载器中。插件一旦被激活，加载器就会在后台收集主机信息，尝试向系统写入带有 svc-telemetry 注释的攻击者 SSH 密钥，进而开启反向 SSH 隧道并建立 持久化驻留。
不幸中的万幸，这批黑客在编写恶意代码时犯了 实现错误。在大多数普通的 macOS 和 Windows 安装环境中，只要开发者没有以 管理员权限 启动 Cursor，恶意脚本的 SSH 远程登录访问步骤就会直接报错失败。这个低级 Bug 挡住了攻击者直接接管终端的最后一步，让绝大部分按默认权限运行编辑器的程序员躲过了被实时远程控制的劫难。
远程登录失败不代表电脑还是干净的。在非管理员权限下，主机信息收集、SSH 密钥写入和持久化驻留依然能够顺利执行。许多开发者得知消息的第一反应是在 IDE 里点一下卸载或降级插件，但这毫无用处。
- 提醒.仅卸载 2.1.313 扩展无法清除已植入的持久化后门；受影响用户必须手动检查并移除带有
svc-telemetry注释的未授权 SSH 密钥与系统持久化项，全面排查主机，并从另一台受信任的系统上轮换所有敏感凭据。
从甩锅 Open VSX 到锁定 Cursor，第三方市场溯源为何摆乌龙
事件爆发初期的溯源过程，暴露出第三方 IDE 供应链的混沌状态。包括 StepSecurity、OpenSourceMalware 以及 Phorion 早期摘要在内的多份首批安全报告，最初都将投毒源头归咎于公共开源插件市场 Open VSX。直到后续交叉比对分发日志，OpenSourceMalware、The Hacker News 和 Phorion 才纷纷更正口径，确认真正沦陷的渠道是 Cursor 扩展市场。
安全机构集体闹出乌龙，根源在于 VS Code 衍生工具的插件分发机制本就不够透明。微软限制第三方分支工具直接接入官方 VS Code Marketplace，各大 AI 编辑器只能依赖 Open VSX 等开源替代源，或者在自有服务器上搭建一层混合镜像与私有缓存。当 Anthropic.claude-code 这种高热度包在中间链路被替换时，外部观察者很难第一时间分清到底是上游公共源被投毒，还是 IDE 厂商自己的扩展市场出了内鬼或审核漏洞。
开发者以为装的是 Anthropic 官方件，实际拆开却是第三方市场的失守包裹。
AI 编程工具高权限裸奔，历史漏洞与周边攻击面持续扩大
即便抛开这次第三方市场投毒，Claude Code 本身及其周边生态在过去一年半里也屡次成为安全研究的靶子。AI 编程助手天生需要读写本地文件、执行终端命令并保持网络通信，一旦权限边界失守，杀伤力远超传统的语法高亮插件。
| 披露/发生时间 | 风险编号或研究方 | 攻击面与核心机制 | 官方处置与现状 |
|---|---|---|---|
| 2025年6月23日 | CVE-2025-52882 | 未授权 WebSocket 连接漏洞（GHSA-9f65-56v6-gxw7） | VS Code 扩展 1.0.24 与 JetBrains 插件 0.1.9 已修复 |
| 2026年6月 | Reversec | 恶意 skills 诱导模型生成带有隐蔽后门的代码 | 概念验证演示，揭示第三方技能包投毒风险 |
| 2026年7月1日 | YunLab | 复现涉及时区、代理配置和混淆域名列表的条件性 Prompt 标记行为 | 与未经证实的远程执行或文件窃取指控明确区分 |
| 2026年10月9日 | CVE-2026-86063 | 插件 commit-pin 绕过漏洞（GHSA-pq7j-f95f-qfcv） | 影响 2.1.179 之前版本，已在 2.1.179 中修复 |
| 2026年10月29日 | Cursor 市场投毒 | 篡改 2.1.313 版本植入 extension.js 后门与 SSH 密钥 | 恶意包已下架，受波及用户需手动清理残留并轮换凭据 |
回顾过往记录可以看到，从早期的 CVE-2025-52882 未授权连接，到今年10月初刚刚修补的 CVE-2026-86063 插件版本锁定绕过，再到 Reversec 演示的恶意 skills 诱导生成后门代码，攻击者的思路正从利用软件本身的通信漏洞，转向劫持插件更新链路与扩展技能。其间也不乏虚惊一场的争议，例如 YunLab 在2026年7月1日复现了涉及时区、代理配置和混淆域名列表的条件性 Prompt 标记行为，但经过严格排查，将其与社区流传却未经证实的远程执行或文件窃取指控区分开来。
对于日常混用 Cursor 与 Claude Code 的企业研发团队而言，这次 2.1.313 版本投毒是一次代价不算惨重但足够刺耳的警钟。接下来最关键的变量在于，Cursor 能否拿出强制性的插件签名校验机制来堵住自有市场的分发漏洞，以及 Anthropic 是否会因此收紧对第三方 IDE 市场镜像其官方插件的授权。在此之前，关闭高权限开发工具的扩展自动更新，是每个程序员能握在自己手里的最后一道闸门。