Cursor 市场中被植入后门的 Claude Code 扩展可能已影响多达 5,000 名用户

Cursor 于 10 月 29 日发布了关于此事的安全公告，并在 10 月 30 日进行了更新。对于任何允许编码智能体在编辑器中自动更新的用户来说，我认为有必要了解此事。**事件经过：**Cursor 拥有自己管理的 VS Code 扩展市场。10 月 29 日，Anthropic.claude-code 的两个被篡改版本（2.1.312 和 2.1.313，适用于 macOS 和 Windows）在该市场上线，时间大约从太平洋时间凌晨 2:27 到下午 1:35。Cursor 估计安装量多达 5,000 次，主要通过正常自动更新完成。Anthropic 表示其自身系统和官方渠道未被入侵，Microsoft 也表示官方 VS Marketplace 和 npm 未受影响。攻击者如何获得发布权限尚未完全说明。**该版本的行为（根据 Cursor、Microsoft 和 Sophos 的分析）：** - 收集主机和用户详细信息，以及多达 40 个疑似密钥的环境变量的名称（不包含值） - 向 authorized_keys 中添加了一个标记为 svc-telemetry 的攻击者 SSH 密钥 - 尝试向攻击者服务器打开反向 SSH 隧道（在没有管理员权限的情况下大多失败，且该服务器现已下线） - 安装了伪装成 "sysmon" 监控组件的启动持久化机制（macOS 上为 LaunchAgent，Windows 上为名为 SysMon 的计划任务） **容易被忽视的一点：**更新到 2.1.314 或卸载该扩展并不能撤销上述任何操作。你必须检查 authorized_keys、移除持久化条目，并从一台干净的机器上轮换凭据。对于智能体配置来说，这才是最棘手的部分。编码智能体扩展通常以你的 shell、你的 SSH 配置和你的 token 运行，因此一次被污染的更新就能继承这一切。Cursor 此后已重建市场并轮换了密钥，但通用的解决方案似乎在我们自己这边：固定版本、只允许受信任的发布者、并在新版本安装前增加冷却期。这里有人真的对智能体扩展做了延迟更新或允许列表机制吗，还是所有东西都是自动更新的？一手资料链接见评论。