Cursor 於今日發佈安全公告，確認在 Cursor VS Code 擴展市場中發現了特定擴展包——Anthropic.claude-code 版本 2.1.313——遭到了惡意篡改。該版本並非由 Anthropic 開發，屬於攻擊者上傳的惡意副本。Cursor 估計最多有 5,000 名用户受到影響，並將直接聯繫這些用户。
根據公告，惡意版本在太平洋時間當天凌晨約 2:27 至下午 1:35 之間在市場中可用。該擴展會執行惡意代碼，試圖安裝一個持久的 SSH 後門。具體行為包括：收集主機和用户信息，例如主機名、用户名、操作系統、架構、主目錄路徑、環境變量名稱、工作目錄、配置的 Git 郵箱以及公網 IP；嘗試將攻擊者控制的 SSH 密鑰添加到 authorized_keys，啓用本地 SSH 服務並打開反向 SSH 隧道。不過，由於惡意代碼存在錯誤，除非 Cursor 以管理員權限啓動，否則這一步在絕大多數情況下會失敗。
惡意代碼還嘗試通過 macOS 的 LaunchAgent 或 Windows 的計劃任務（試圖以 SYSTEM 權限運行，並有啓動腳本作為備用）使反向 SSH 隧道持久化。後台腳本大約每 60 秒重試一次隧道連接，並通過 HTTP POST 將主機詳情和後門狀態發送到攻擊者服務器的 8099 端口 /beacon 路徑。Cursor 表示，攻擊者服務器已不再運作，他們與託管該服務器的雲服務商合作將其下線，因此反向 shell 和主機詳情 POST 均已失效。
Cursor 強調，這些發現僅涉及已識別的惡意包，沒有證據表明該擴展的其他版本或官方分發渠道受到影響。此外，開啓本地 SSH 服務需要管理員權限，而惡意擴展在大多數 macOS 和 Windows 主機上並不具備該權限。因此，在這些主機上該步驟會失敗，攻擊者無法通過隧道登錄。但擴展仍會添加攻擊者的 SSH 密鑰、安裝持久化機制並將主機詳情發送給攻擊者，因此用户仍需按照修復步驟進行處理。
在發現惡意版本後，Cursor 立即將其從市場移除並阻止進一步分發。出於謹慎考慮，他們隨後完全關閉了 VS Code 市場，審計了訪問權限並確認沒有其他擴展被篡改。Cursor 還輪換了密鑰、重建市場並恢復上線，同時與託管商合作下線惡意服務器，從而阻斷攻擊。
對於在 2026 年 10 月 29 日太平洋時間凌晨 2:27 至下午 1:35 之間從 Cursor VS Code 擴展市場安裝或更新到 Anthropic.claude-code 2.1.313 的用户，Cursor 建議立即運行檢測腳本以確認是否受影響。用户應搜索端點、網絡和擴展安裝遙測中的相關指標，隔離顯示有載荷執行或後門安裝證據的主機，並使用官方修復腳本移除未經授權的 SSH 密鑰、持久化機制和正在運行的隧道進程。卸載擴展可能並不足夠，因為惡意載荷會釋放獨立的持久化腳本並繼續運行。用户還應從可信系統輪換受影響主機可訪問的憑據和會話。
檢測方法是檢查 SSH 授權密鑰文件中是否包含標記為 svc-telemetry 的攻擊者公鑰。在 macOS 上，可運行 grep 命令檢查 ~/.ssh/authorized_keys；在 Windows 上，可使用 PowerShell 檢查 $HOME\.ssh\authorized_keys 和 C:\ProgramData\ssh\administrators_authorized_keys。如果發現該密鑰，則説明機器已受影響，用户應執行修復腳本。Cursor 提供了針對 macOS 和 Windows 的修復腳本，分別以受影響用户身份和以管理員身份運行，腳本會移除惡意擴展、持久化機制、隧道進程和攻擊者密鑰，並在仍有殘留時返回非零狀態。
公告還列出了入侵指標，包括修改後的 VSIX 文件哈希、惡意代碼中的 IP 地址 134[.]209[.]82[.]225 和 svc-telemetry 字符串、攻擊者端點、反向 SSH 隧道、外部和本地信標地址、未經授權的 SSH 公鑰及其指紋、反向隧道密鑰指紋，以及 macOS 和 Windows 上的相關文件和持久化位置。進程和命令行指標包括 ssh -N -R 命令、autossh、schtasks 創建 SysMon 任務、systemsetup 開啓遠程登錄以及添加 OpenSSH 服務器功能等。Cursor 建議用户如有進一步問題可聯繫 [email protected]。