Cursor 商店里出现被篡改的 Claude Code 插件：约 5000 人可能中招，会装 SSH 后门

你从官方市场下载了一个「正品插件」，装进开发机——然后它给你的电脑开了一扇门。

三个关键信息

Cursor 在其官方安全公告中称，VS Code 插件市场上出现了被恶意修改的 Anthropic.claude-code，版本 2.1.312 与 2.1.313（Windows 与 macOS）。 这两个版本并非 Anthropic 开发。受影响时间窗口约为太平洋时间上午 2:27 至下午 1:35。

恶意代码的行为链条相当完整。 它收集并回传主机与用户信息（主机名、用户名、系统、架构、家目录、环境变量名、工作目录、Git 邮箱、公网 IP）；尝试向 authorized_keys 添加攻击者 SSH 密钥、启用本地 SSH 服务、开启反向隧道；还试图通过 macOS LaunchAgent 或 Windows 计划任务让隧道持久化，后台脚本约每 60 秒重试。

关键缓解因素是权限。 Cursor 说明：启用本地 SSH 服务需要管理员权限，而该恶意插件在大多数 macOS 与 Windows 主机上并没有这些权限，因此这一步会失败，攻击者无法通过隧道登录。此外，由于恶意代码本身的错误，那些步骤本来也会失败；攻击者服务器已被托管服务商下线，不再可用。据 The Verge 报道，Cursor 称约 5,000 人可能安装了该插件，目前已从市场移除，并核实「没有其他插件被篡改」。

王斗视角

先说这件事故里最有价值的一条信息：它失败的原因，是「恶意代码自己有 bug」和「没拿到管理员权限」。这两条都不是设计出来的防御，是运气。也就是说，如果那位攻击者把代码写得更仔细一点，如果某个开发者的 Cursor 恰好以管理员权限启动过——结果就完全不同。一次安全事故的安全，不能建立在「对手写错了」之上。

第二点是「约 5000 人」。在 AI 编程工具的世界里，5000 个开发者不是小数——可能意味着几千个能访问生产环境、读私有仓库、握云凭证的账号。开发者的机器从来不是「一台电脑」，是整个系统的钥匙串。供应链攻击偏爱这里，正因为一次开锁能开出很多扇门。

第三点，最该被记住的：这次攻击没有利用任何漏洞。它用的是「插件能装插件」这个正常机制。AI 编程工具正在变成开发工作流的中心枢纽——它读你的代码、跑你的命令、连你的仓库——而它的扩展生态，还停留在「点一下安装就行」的年代。当你把越来越多的权限交给这类工具时，请顺手问一句：我刚刚装的那个插件，是谁签名验证过的？

来源：Cursor 安全公告 · The Verge