根据安全分析机构 Phorion 发布的 技术深度剖析报告，攻击者通过某种方式渗透了 Cursor 的扩展分发渠道，发布了一个伪装成官方更新的恶意版本：Anthropic.claude-code 2.1.313。这个带有剧毒的扩展包在扩展市场上线了约 11 小时，这段时间里，大约有 5000 名毫无防备的开发者将其更新至了本地 IDE。
隐藏在代码后的黑手：不仅是数据窃取，更是物理接管
这起事件并非普通的个人隐私泄露，而是一场处心积虑的系统控制权争夺战。一旦开发者安装了该恶意版本，扩展程序会立即在后台启动一系列自动化脚本。
根据 Cursor 发布的官方安全公告，该恶意插件不仅会静默收集包括用户名、主机名、操作系统架构、公网 IP、环境变量以及 Git 配置邮箱等高度隐私的设备特征，还试图通过一系列复杂的手段建立持久控制权：
- 持久后门构建：它会尝试将黑客控制的 SSH 密钥强制写入用户的
authorized_keys文件，并试图激活本地 SSH 服务建立反向隧道。 - 多平台常驻机制：恶意代码通过 macOS 的
LaunchAgent和 Windows 的“计划任务（Task Scheduler）”进行伪装，试图以 SYSTEM 权限实现开机自启。 - 心跳回传：脚本会每隔 60 秒重试一次，通过 HTTP POST 请求将主机详情上报至指定地址的 8099 端口。
万幸的是，由于该恶意代码中存在严重的逻辑 Bug，除非开发者是以极其危险的管理员/root 权限启动 IDE（这种情况在现代开发中非常罕见），否则大部分试图建立反向隧道的请求均会失败。但这并不意味着安全，那些被窃取的主机名、用户环境配置及 Git 邮箱，足以让黑客对这些开发者进行精准的二次网络钓鱼攻击。
供应链投毒：AI 生态系统的脆弱一环
此次事件最令人震惊的是攻击的“正当性”。攻击者并非通过直接向开发者发送木马文件来完成渗透，而是利用了 IDE 扩展市场的信任链条。当开发者点击“更新”按钮时，他们完全信任这是 Anthropic 官方推送的 Claude Code 更新，而这种信任却成了打开潘多拉魔盒的钥匙。
目前，Cursor 方面已经撤下了恶意版本并关闭了相关服务器，但插件开发商 Anthropic 却在此次风波中保持了令人费解的沉默，尚未发布正式的回应。对于这一级别的 AI 巨头而言，分发系统的安全性漏洞已经不仅仅是技术问题，更是关乎整个 AI 开发者生态信任基础的公关危机。
开发者的紧急审计清单
如果你是在 2026 年 10 月 29 日，太平洋时间凌晨 2:27 至下午 1:35 之间，从 Cursor VS Code 扩展市场安装或更新了 Anthropic.claude-code 扩展的用户，请务必立即执行以下紧急清理操作：
- 核查 SSH 密钥：打开
~/.ssh/authorized_keys，检查是否有不认识的公钥行，如有，立即删除。 - 审计计划任务：检查 macOS 的
~/Library/LaunchAgents/目录以及 Windows 任务计划程序，寻找任何名为类似“Claude-Update”或“System-Init”的异常任务。 - 重置环境密钥：鉴于环境变量和 Git 邮箱已被泄露，建议立即重置相关的 API Key、Git 远程仓库认证凭证。
- 清理 IDE 扩展：彻底卸载 Claude Code 扩展，并重新从官方渠道拉取最新版本。
在 AI 编码工具统治开发的今天，这种“信任即资产”的模式显得尤为脆弱。当扩展程序拥有了读写本地代码、访问文件系统以及运行终端命令的权限后，任何一个微小的分发漏洞，都有可能演变成毁灭性的远程控制危机。
本报道由 圈小蛙（qxwa.com） 科技资讯站特约撰稿。🐸️