Claude Code扩展被投毒 波及五千开发者

安全行业再度被一起供应链攻击敲响警钟。据Cursor官方安全公告，10月29日太平洋时间凌晨2时27分至下午1时35分，其VS Code扩展市场中出现了一个被恶意篡改的Claude Code扩展，版本号为Anthropic.claude-code 2.1.312与2.1.313，覆盖Windows与macOS平台，存在时间约11个小时。

Cursor在公告中强调，这两个版本并非Anthropic开发，也不影响市场内其他扩展，更不涉及Cursor旗下的Grok等产品。据其统计，下载并使用该恶意版本的用户最多约5000人，公司将逐一联系受影响用户。

恶意代码的行为相当完整：先收集主机与用户信息，包括主机名、用户名、操作系统与CPU架构、主目录与工作目录、环境变量名称、Git全局邮箱以及公网IP；随后尝试向受害者的authorized_keys写入攻击者公钥，把该密钥伪装成名为svc-telemetry的正常组件，并开启本地SSH服务、建立反向隧道。

为了让后门长期存活，恶意扩展还会在macOS上安装LaunchAgent，在Windows上创建尝试以SYSTEM身份运行的计划任务，后台脚本大约每60秒重连一次隧道，同时通过明文HTTP把主机信息与后门状态上报到攻击者服务器的8099端口。

所幸恶意代码本身存在缺陷。开启本地SSH服务需要管理员权限，而绝大多数macOS与Windows主机上的Cursor并非以管理员身份启动，这一步会失败，攻击者实际无法通过隧道登录。但扩展仍会写入攻击者公钥、留下持久化脚本并外发主机信息，因此受影响用户必须按公告逐步清理。

Cursor表示，发现后立即下架恶意版本并阻断分发，随后出于谨慎全面关闭了扩展市场，审计确认没有其他扩展被同样篡改，在轮换密钥、重建市场后恢复上线；同时与托管攻击服务器的云厂商合作将其下线，反向隧道与信息上报均已失效。

围绕攻击来源，业界一度猜测Anthropic系统被入侵。Anthropic技术团队成员Felix Rieseberg在社交平台回应称，公司正与Cursor联合处置，但「不是Anthropic的系统或员工电脑被攻破」，而是有人利用对Cursor市场的访问权限发布了篡改副本，官方渠道的版本不受影响。Anthropic安全工程师David Dworken也作出相同表态。至于恶意包究竟如何进入市场，Cursor暂未说明。

这起事件最早由终端检测厂商Phorion在客户的一台Mac上发现。该公司联合创始人Calum Hall评价称，此次「运气非常好」，若后门成功建立，将是一个极其危险的立足点。Anthropic已发布2.1.314版并上架Open VSX与微软扩展市场，但安全团队提醒，仅升级扩展不足以清除后门，必须删除伪造的SSH公钥、清理持久化机制并轮换凭据。