Cursor 於今日釋出安全公告，確認在 Cursor VS Code 擴充套件市場中發現了特定擴充套件包——Anthropic.claude-code 版本 2.1.313——遭到了惡意篡改。該版本並非由 Anthropic 開發，屬於攻擊者上傳的惡意副本。Cursor 估計最多有 5,000 名使用者受到影響，並將直接聯絡這些使用者。
根據公告，惡意版本在太平洋時間當天凌晨約 2:27 至下午 1:35 之間在市場中可用。該擴充套件會執行惡意程式碼，試圖安裝一個持久的 SSH 後門。具體行為包括：收集主機和使用者資訊，例如主機名、使用者名稱、作業系統、架構、主目錄路徑、環境變數名稱、工作目錄、配置的 Git 郵箱以及公網 IP；嘗試將攻擊者控制的 SSH 金鑰新增到 authorized_keys，啟用本地 SSH 服務並開啟反向 SSH 隧道。不過，由於惡意程式碼存在錯誤，除非 Cursor 以管理員許可權啟動，否則這一步在絕大多數情況下會失敗。
惡意程式碼還嘗試透過 macOS 的 LaunchAgent 或 Windows 的計劃任務（試圖以 SYSTEM 許可權執行，並有啟動指令碼作為備用）使反向 SSH 隧道持久化。後臺指令碼大約每 60 秒重試一次隧道連線，並透過 HTTP POST 將主機詳情和後門狀態傳送到攻擊者伺服器的 8099 埠 /beacon 路徑。Cursor 表示，攻擊者伺服器已不再運作，他們與託管該伺服器的雲服務商合作將其下線，因此反向 shell 和主機詳情 POST 均已失效。
Cursor 強調，這些發現僅涉及已識別的惡意包，沒有證據表明該擴充套件的其他版本或官方分發渠道受到影響。此外，開啟本地 SSH 服務需要管理員許可權，而惡意擴充套件在大多數 macOS 和 Windows 主機上並不具備該許可權。因此，在這些主機上該步驟會失敗，攻擊者無法透過隧道登入。但擴充套件仍會新增攻擊者的 SSH 金鑰、安裝持久化機制並將主機詳情傳送給攻擊者，因此使用者仍需按照修復步驟進行處理。
在發現惡意版本後，Cursor 立即將其從市場移除並阻止進一步分發。出於謹慎考慮，他們隨後完全關閉了 VS Code 市場，審計了訪問許可權並確認沒有其他擴充套件被篡改。Cursor 還輪換了金鑰、重建市場並恢復上線，同時與託管商合作下線惡意伺服器，從而阻斷攻擊。
對於在 2026 年 10 月 29 日太平洋時間凌晨 2:27 至下午 1:35 之間從 Cursor VS Code 擴充套件市場安裝或更新到 Anthropic.claude-code 2.1.313 的使用者，Cursor 建議立即執行檢測指令碼以確認是否受影響。使用者應搜尋端點、網路和擴充套件安裝遙測中的相關指標，隔離顯示有載荷執行或後門安裝證據的主機，並使用官方修復指令碼移除未經授權的 SSH 金鑰、持久化機制和正在執行的隧道程序。解除安裝擴充套件可能並不足夠，因為惡意載荷會釋放獨立的持久化指令碼並繼續執行。使用者還應從可信系統輪換受影響主機可訪問的憑據和會話。
檢測方法是檢查 SSH 授權金鑰檔案中是否包含標記為 svc-telemetry 的攻擊者公鑰。在 macOS 上，可執行 grep 命令檢查 ~/.ssh/authorized_keys；在 Windows 上，可使用 PowerShell 檢查 $HOME\.ssh\authorized_keys 和 C:\ProgramData\ssh\administrators_authorized_keys。如果發現該金鑰，則說明機器已受影響，使用者應執行修復指令碼。Cursor 提供了針對 macOS 和 Windows 的修復指令碼，分別以受影響使用者身份和以管理員身份執行，指令碼會移除惡意擴充套件、持久化機制、隧道程序和攻擊者金鑰，並在仍有殘留時返回非零狀態。
公告還列出了入侵指標，包括修改後的 VSIX 檔案雜湊、惡意程式碼中的 IP 地址 134[.]209[.]82[.]225 和 svc-telemetry 字串、攻擊者端點、反向 SSH 隧道、外部和本地信標地址、未經授權的 SSH 公鑰及其指紋、反向隧道金鑰指紋，以及 macOS 和 Windows 上的相關檔案和持久化位置。程序和命令列指標包括 ssh -N -R 命令、autossh、schtasks 建立 SysMon 任務、systemsetup 開啟遠端登入以及新增 OpenSSH 伺服器功能等。Cursor 建議使用者如有進一步問題可聯絡 [email protected]。