本文目录

2026 年 10 月 29 日，Cursor 发布安全通告：Cursor VS Code 扩展市场上出现恶意修改的 Anthropic.claude-code 2.1.312 与 2.1.313（Windows／macOS）。Cursor 写明这些包并非 Anthropic 制作。通告称，cursor.com/marketplace 上下载的其他扩展，以及文内所列其他产品线，不受本次发现影响。

时间窗与通告描述的行为

Cursor 将市场窗口写在 2026 年 10 月 29 日约 2:27am–1:35pm PT。按通告，被改动的扩展会尝试：

  • 收集并上报主机／用户信息（主机名、用户名、操作系统、架构、home 路径、环境变量名、工作目录、配置的 Git email、公网 IP）。
  • 向 authorized_keys 写入攻击者 SSH 公钥（标签 svc-telemetry）、启用本机 SSH、建立反向 SSH 隧道。
  • 经 LaunchAgent（macOS）或计划任务／Startup 脚本（Windows）做持久化；后台脚本约每 60 秒重试隧道。

Cursor 通告里的影响范围

Cursor 称攻击者服务器已下线（与云厂商协作），通告所述反向 shell 与主机详情 POST 不再可用；并写无证据显示其他版本或官方分发受影响。

开启本机 SSH 服务需要管理员权限。多数 macOS／Windows 主机上恶意扩展没有该权限时，该步会失败，攻击者无法经隧道登录。即便如此，扩展仍可能已写入攻击者公钥、装上持久化并发送主机信息——窗口内主机仍须按通告排查。仅卸载扩展可能不够，因为载荷可能留下独立持久化脚本。

Cursor 的处置

Cursor 检出后立即从市场移除并阻断分发，一度关闭整个市场；审计后称未发现其他扩展被篡改；轮换密钥、重建市场并恢复上线。IOCs（VSIX 哈希、载荷特征、网络端点、持久化路径）与修复脚本（remediate-macos.sh、remediate-windows.ps1）见通告；Cursor 于 2026 年 10 月 30 日 11:30am PT 更新了 IOCs。联系：security@cursor.com。

在上述窗口从该市场安装或更新到 2.1.312／2.1.313 的主机，应按 Cursor 步骤：跑通告检查／修复脚本、在遥测中搜所列 IOCs（含 svc-telemetry 密钥注释）、隔离受影响主机、清除未授权密钥／持久化／隧道进程，并在可信系统上轮换可及凭证。完整哈希与路径以通告为准，这里不展开 IOC 全表。

不是 npm 渠道

本事件是 Cursor VS Code 扩展市场分发面问题，不等于 npm @anthropic-ai/claude-code。短讯 Claude Code 2.1.312 新增 OIDC user_id_claim 与大文件更安全写入 写的是 npm 正版功能发布，勿与本次市场恶意包混读。

细节以 Cursor 通告为准；仅供参考。

相关阅读：Aokigahara 窃密木马盯上 Claude、Codex、Cursor 与 Copilot 凭证；OpenCode 称 Console 安全事件波及约 1.4% 的用户。