伪装成 Claude Code 的恶意扩展在 Cursor 市场传播，或影响最多 5000 名开发者

该恶意软件伪装成Anthropic的Claude Code扩展，被正式列在Cursor市场上，并可供下载约半天。Cursor已发布安全指引。（来源：Cursor）

PC본문_6월 Mouser（文中）//

AD Manager | AD178089411676 //

// AD Manager | AD178089411676

当地时间10月29日，一个伪装成Anthropic Claude Code的恶意扩展被上传至人工智能（AI）开发工具Cursor的市场，可能感染多达5000名开发者。该扩展旨在安装SSH后门，促使开发者提高警惕。

Cursor是一款流行的AI编程编辑器。2026年8月，SpaceX以600亿美元收购Cursor开发商Anysphere，引发关注。根据10月初发布的Stack Overflow 2026年开发者调查，在受访开发者使用的AI编程工具或AI智能体中，Cursor占26%。

据Cursor称，该恶意软件伪装成微软Visual Studio Code（VS Code）官方Claude Code扩展的更新，版本号为Anthropic.claude-code v2.1.312和Anthropic.claude-code v2.1.313。这些恶意版本在Cursor市场上正式列出约11小时后，才被安全公司Phorion发现并随后移除。据The Register报道，多达5000名开发者受到感染。

该恶意软件包含一个可在Windows、macOS和Linux上运行的持久性SSH后门。它从用户系统中收集信息，并试图建立反向SSH隧道。然而，负责创建SSH隧道的脚本在macOS和Windows上需要管理员权限。在大多数环境中，该恶意软件未能获得这些权限，从而阻止了连接的建立。

Anthropic工程师Felix Rieseberg在X上表示，公司正与Cursor一起调查此事，但此次入侵并非源于Anthropic的系统或员工笔记本电脑被攻破。

尽管如此，The Register报道称，已被窃取的信息已传输至攻击者控制的服务器，同时还观察到插入攻击者SSH密钥以及在系统重启后维持恶意软件执行的机制。因此，下载了该扩展的用户无论SSH隧道是否成功建立，都需要调查并清除威胁。

Cursor表示，在得知这些恶意版本后，已立即将其从市场移除并阻止其分发。作为预防措施，公司还暂时暂停了整个VS Code扩展市场。随后，它检查了其他扩展是否可能被入侵，轮换了自身密钥并恢复了服务。Cursor补充说，它与攻击者服务器的托管服务商合作，将该服务器下线。

据Cursor称，该恶意扩展旨在执行后立即在系统深处安装后门。一旦启动，它会将攻击者的SSH公钥添加到用户的SSH authorized_keys文件中，通过macOS LaunchAgents、Windows任务计划程序或Linux Cron注册隐藏文件，以便在每次重启后执行恶意脚本，并收集主机名、用户名、操作系统、工作目录、配置的Git电子邮件地址和公网IP地址等信息，然后将其传输至攻击者的服务器。

该恶意软件还收集了环境变量的名称。此类变量可能包含API密钥、身份验证令牌和云账户凭据。Cursor确认已收集环境变量名称，但表示无法确定存储在这些变量中的实际凭据值是否也被传输。

不能排除通过SSH后门进行后续访问的可能性。The Register警告称，仅将扩展更新至最新版本并不能移除系统中已安装的恶意脚本。

Cursor已在官方公告中发布了详细的应对说明和修复脚本。它建议使用另一台可信设备，轮换或撤销可能已从受感染系统访问过的凭据和已认证会话。仅卸载扩展可能无法移除已安装的后门和持久化机制。

一些行业观察人士提出，该恶意扩展可能是Anthropic系统被攻破所致。Anthropic在官方声明中回应称，黑客利用了Cursor市场的权限上传了仿冒版本，这些版本并非由Anthropic创建或分发。

Anthropic补充说，正与Cursor合作调查此事。该公司表示，通过官方渠道分发的现有版本仍然安全，恶意软件的影响仅限于Cursor用户。

然而，Cursor和Anthropic均尚未披露恶意软件包如何绕过验证并被列在官方市场上的具体细节。

Anthropic工程师Felix Rieseberg在X上表示，公司正与Cursor一起调查此事，但此次入侵并非源于Anthropic的系统或员工笔记本电脑被攻破。