装插件的11小时里，后门已经住进了开发机
Cursor 2026 年 10 月 29 日在自家扩展市场分发了约 11 小时的被改 Claude Code 扩展，2.1.312 与 2.1.313 两个版本内置 SSH 后门，卸载扩展清不掉已植入的公钥与持久化，修复版是 2.1.314。
- 01THE DISTRIBUTION：2026 年 10 月 29 日，被改的 2.1.312 与 2.1.313 进入 Cursor 市场。
- 02THE IMPLANT：扩展加载即运行注入代码，追加攻击者 SSH 公钥。
- 03THE TUNNEL：反向隧道指向 134.209.82.225，持久化写在扩展目录外。
WHAT HAPPENED发生了什么
2026 年 10 月 29 日，Cursor 自家扩展市场里出现了被改过的 Claude Code 扩展，版本 2.1.312 与 2.1.313，覆盖 macOS 与 Windows，窗口大约 11 小时，从世界时 9 时 27 分到 20 时 35 分。Cursor 在 10 月 30 日修订了安全公告，补上了两个版本与四个文件哈希，并加上 Linux 相关指标。
改动藏在 extension.js 开头。扩展一加载，注入代码就运行，不需要用户点任何东西。它往 authorized_keys 里追加一个注释为 svc-telemetry 的攻击者 SSH 公钥，尝试打开本机 SSH 服务，再向 134.209.82.225 打开反向隧道。持久化也写在扩展目录之外，macOS 是伪装成系统监控的 LaunchAgent，Windows 是 SysMon 计划任务加开机脚本。
最麻烦的一点是卸载不管用。删掉扩展，公钥、隧道重试循环与开机项都还在。Cursor 称至多 5000 名用户收到恶意版本，修复版是 2.1.314。官方渠道没有中招，Anthropic 称自己的系统未被攻破，被改的包从未上过 Open VSX 或微软市场。
THE MARKETPLACE AS ATTACK SURFACE市场本身成了攻击面
开发者信任扩展市场，就像信任应用商店。市场分发的包自带编辑器权限，能读文件、跑工具、触达密钥。Cursor 这次出问题的地方，恰恰是它自己运营的市场，而不是 Anthropic 的发布渠道。
这意味着防线要往前移。装扩展之前先看发布者与版本，自动更新也要当成一次部署来对待。市场方需要在上架环节验签与比对官方哈希，缺了这一步，用户侧再小心也只能事后清理。
REMEDIATION IS LONGER THAN UNINSTALL清理清单比卸载长得多
微软威胁情报的分析列出了完整清理路径。先保全证据，再杀掉隧道进程，删 LaunchAgent 或计划任务与开机脚本，清掉 authorized_keys 里的 svc-telemetry 公钥，最后升级到 2.1.314 或更新版。只做其中一步，等于没做。
还有一个细节值得单独提醒。信标只发了主机信息与最多 40 个密钥类环境变量的名字，没有发变量值。这不等于没有损失，变量名本身就能告诉攻击者这台机器上有什么值得再来一次。
WHY MOST HOSTS ESCAPED THE TUNNEL权限边界在 SSH 服务上收窄了伤害
多数机器上隧道没能真正连通，因为开启 SSH 服务需要管理员权限，而 Cursor 通常没有这个权限。微软与 Cursor 的说法一致，多数 macOS 与 Windows 主机上这一步被挡住了。
但这只是运气，不是设计。已经开着 SSH 的机器不在保护范围内，公钥与持久化在这些机器上照样生效。把 SSH 默认关闭、定期检查 authorized_keys，仍是开发者机器上最便宜的保险。
SIGNAL JUDGMENT扩展市场的信任，正在变成单点故障
Tokenta Signal 判断：开发工具链的安全，现在取决于分发渠道的验签，而不是开发者的警惕。市场验签缺位一次，几千台开发机就同时中招。
WHAT REMAINS UNCERTAIN还有什么不确定
EVIDENCE证据
原文确认 Cursor 市场在 2026 年 10 月 29 日约 11 小时内分发了被改的 Claude Code 2.1.312 与 2.1.313，注入代码追加 svc-telemetry 公钥并建反向隧道，修复版为 2.1.314。
PRIMARY SOURCES原始来源
- Cursor 安全公告：Security notice, malicious version of Anthropic.claude-code
https://cursor.com/blog/claude-code-extension-security-notice - Rescana：Trojanized Claude Code 2.1.312 and 2.1.313 in Cursor Marketplace Plants SSH Backdoor
https://www.rescana.com/post/claude-code-extension-2-1-313-cursor-marketplace-trojanized-ssh-backdoor