Cursor 市集上的 Claude Code 擴充套件 2.1.312／2.1.313 被植入 SSH 後門：約 12 小時的下載窗口，最多 5,000 名使用者受影響

Cursor 在 2026 年 10 月 29 日發出安全公告：發布在 Cursor 擴充套件市集、ID 為 Anthropic.claude-code 的 2.1.312 與 2.1.313 兩個版本被竄改，會在開發者電腦上留下持久的 SSH 後門。Cursor 強調這些版本不是 Anthropic 開發的。以下以 Cursor 公告與 The Hacker News 的整理為準。

發生了什麼

依 Cursor 公告，惡意版本可被安裝的時間約為 10 月 29 日太平洋時間凌晨 2:27 到下午 1:35，約 12 小時，平台為 Windows 與 macOS。Cursor 在 10 月 30 日更新了入侵指標並釐清受影響版本。The Hacker News 引述 Cursor 的說法是最多 5,000 名使用者受影響；公告頁本身沒有列出受影響人數。攻擊者如何取得上架權限目前不明，Anthropic 表示自家系統與員工筆電沒有被入侵，Cursor 則說攻擊者是利用 Cursor 市集的存取權發布了被竄改的版本。

惡意程式做了什麼

惡意程式在主要的 JavaScript 檔案前面插入一段約 66 行的載入器，在 VS Code 啟動及擴充套件的 webview 開啟時觸發。它會蒐集主機名稱、使用者名稱、作業系統、架構、家目錄、工作目錄、Git 電子郵件與公開 IP，以及最多 40 個名稱含 KEY、TOKEN、SECRET、PASS、AWS 或 GCP 的環境變數名稱（只有名稱，沒有值），用未加密的 HTTP 送到攻擊者伺服器。它也嘗試把一把標記為 svc-telemetry 的攻擊者 SSH 公鑰寫進 authorized_keys、啟用本機 SSH 服務並開反向通道，同時用 macOS 的 LaunchAgent、Windows 的排程工作或 Linux 的 cron 做持久化。啟用 SSH 需要管理員權限，擴充套件通常沒有，所以 Cursor 判斷通道在多數主機上很可能失敗，但金鑰與持久化檔案仍會寫入。目前沒有觀察到後續的其他惡意載荷。

哪些管道沒受影響

Cursor 市集是目前唯一確認的散布管道。Microsoft 確認該惡意版本從未出現在官方 VS Code Marketplace，也不在 npm 的 anthropic-ai/claude-code 套件中；Anthropic 說官方管道未受影響。Open VSX 方面，Socket 沒有找到 2.1.313 曾上架的證據，先前說 Open VSX 被入侵的報導後來已更正。修正版本是 2.1.314，已在 Open VSX 與 VS Code Marketplace 提供。Cursor 已移除惡意版本、暫時關閉整個市集、輪替金鑰並重建，也和主機供應商讓攻擊者伺服器下線，並表示會直接聯絡受影響的使用者。

怎麼檢查

最直接的檢查是看 ~/.ssh/authorized_keys 裡有沒有標記為 svc-telemetry 的金鑰，有就視為受影響。其他指標包括連往 134[.]209[.]82[.]225 的流量（連接埠 8099 的 beacon 與 TCP 22 的反向 SSH）、macOS 的 com.apple.sysmond.plist、Windows 的排程工作 SysMon。Microsoft 提醒，只解除安裝擴充套件不會移除寫在安裝目錄之外的檔案，所以要另外清除金鑰、通道程序與開機啟動項目。

這跟你的錢有什麼關係

如果你或團隊在 10 月 29 日用 Cursor 更新過 Claude Code 擴充套件，現在就查那個金鑰標籤，查到的話要隔離主機並輪替上面能碰到的憑證與 session，重建主機的成本通常遠低於一次金鑰外洩。往後兩件事值得做：把擴充套件自動更新改成先審核再升級，以及確認 Claude Code 的安裝來源是官方管道。這次事件也說明，入侵面是你信任的市集，而不是模型本身。