Cursor 于今日发布安全公告，确认在 Cursor VS Code 扩展市场中发现了特定扩展包——Anthropic.claude-code 版本 2.1.313——遭到了恶意篡改。该版本并非由 Anthropic 开发，属于攻击者上传的恶意副本。Cursor 估计最多有 5,000 名用户受到影响，并将直接联系这些用户。
根据公告，恶意版本在太平洋时间当天凌晨约 2:27 至下午 1:35 之间在市场中可用。该扩展会执行恶意代码，试图安装一个持久的 SSH 后门。具体行为包括：收集主机和用户信息，例如主机名、用户名、操作系统、架构、主目录路径、环境变量名称、工作目录、配置的 Git 邮箱以及公网 IP；尝试将攻击者控制的 SSH 密钥添加到 authorized_keys，启用本地 SSH 服务并打开反向 SSH 隧道。不过，由于恶意代码存在错误，除非 Cursor 以管理员权限启动，否则这一步在绝大多数情况下会失败。
恶意代码还尝试通过 macOS 的 LaunchAgent 或 Windows 的计划任务（试图以 SYSTEM 权限运行，并有启动脚本作为备用）使反向 SSH 隧道持久化。后台脚本大约每 60 秒重试一次隧道连接，并通过 HTTP POST 将主机详情和后门状态发送到攻击者服务器的 8099 端口 /beacon 路径。Cursor 表示，攻击者服务器已不再运作，他们与托管该服务器的云服务商合作将其下线，因此反向 shell 和主机详情 POST 均已失效。
Cursor 强调，这些发现仅涉及已识别的恶意包，没有证据表明该扩展的其他版本或官方分发渠道受到影响。此外，开启本地 SSH 服务需要管理员权限，而恶意扩展在大多数 macOS 和 Windows 主机上并不具备该权限。因此，在这些主机上该步骤会失败，攻击者无法通过隧道登录。但扩展仍会添加攻击者的 SSH 密钥、安装持久化机制并将主机详情发送给攻击者，因此用户仍需按照修复步骤进行处理。
在发现恶意版本后，Cursor 立即将其从市场移除并阻止进一步分发。出于谨慎考虑，他们随后完全关闭了 VS Code 市场，审计了访问权限并确认没有其他扩展被篡改。Cursor 还轮换了密钥、重建市场并恢复上线，同时与托管商合作下线恶意服务器，从而阻断攻击。
对于在 2026 年 10 月 29 日太平洋时间凌晨 2:27 至下午 1:35 之间从 Cursor VS Code 扩展市场安装或更新到 Anthropic.claude-code 2.1.313 的用户，Cursor 建议立即运行检测脚本以确认是否受影响。用户应搜索端点、网络和扩展安装遥测中的相关指标，隔离显示有载荷执行或后门安装证据的主机，并使用官方修复脚本移除未经授权的 SSH 密钥、持久化机制和正在运行的隧道进程。卸载扩展可能并不足够，因为恶意载荷会释放独立的持久化脚本并继续运行。用户还应从可信系统轮换受影响主机可访问的凭据和会话。
检测方法是检查 SSH 授权密钥文件中是否包含标记为 svc-telemetry 的攻击者公钥。在 macOS 上，可运行 grep 命令检查 ~/.ssh/authorized_keys；在 Windows 上，可使用 PowerShell 检查 $HOME\.ssh\authorized_keys 和 C:\ProgramData\ssh\administrators_authorized_keys。如果发现该密钥，则说明机器已受影响，用户应执行修复脚本。Cursor 提供了针对 macOS 和 Windows 的修复脚本，分别以受影响用户身份和以管理员身份运行，脚本会移除恶意扩展、持久化机制、隧道进程和攻击者密钥，并在仍有残留时返回非零状态。
公告还列出了入侵指标，包括修改后的 VSIX 文件哈希、恶意代码中的 IP 地址 134[.]209[.]82[.]225 和 svc-telemetry 字符串、攻击者端点、反向 SSH 隧道、外部和本地信标地址、未经授权的 SSH 公钥及其指纹、反向隧道密钥指纹，以及 macOS 和 Windows 上的相关文件和持久化位置。进程和命令行指标包括 ssh -N -R 命令、autossh、schtasks 创建 SysMon 任务、systemsetup 开启远程登录以及添加 OpenSSH 服务器功能等。Cursor 建议用户如有进一步问题可联系 [email protected]。