Ing. Calogero Bono
周四，一个被篡改的 Visual Studio Code 版 Claude Code 扩展在 Cursor 市场中停留了约 11 小时。它包含一个面向 Windows、macOS 和 Linux 的 SSH 后门。据 Cursor 称，受影响用户最多 5000 人。这一点很重要，因为该扩展在开发环境的权限下运行，因此可能访问本地文件和源代码。我们在第一篇报道中已经提到过这件事。
在进入事实之前，先了解几个术语。 后门是一个隐藏的服务入口，让攻击者能够重新进入计算机。SSH是一种远程控制计算机的协议。反向 SSH 隧道是由受害者计算机向攻击者发起的连接。供应链指通过可信的供应商或分发渠道发起的攻击。EDR是一种检测企业设备上异常行为的软件。
Cursor 上发生了什么？
据 Wired 报道，Cursor 的母公司为 SpaceX，该平台曾托管一个恶意 Claude Code 扩展约 11 小时。公司称下载用户“最多 5000 人”，并一度关闭了市场。
据 The Register 报道，2.1.313 版本在太平洋时间周四 02:27 至 13:35 之间可供下载，即 UTC 时间 09:27 至 20:35。该版本由 EDR 供应商 Phorion 发现，是在一位客户的 Mac 上检测到的。
后门做了什么？
据 Ars Technica 报道，Cursor 称恶意代码试图安装持久的 SSH 后门。它添加攻击者的 SSH 密钥，启用本地 SSH 服务，并打开一条反向隧道。
据 The Register 转述的供应商分析，它还会收集用户名、已配置的 Git 邮箱和公网 IP 地址，并将这些数据发送给攻击者。
由于 Cursor 的扩展以开发环境的权限运行，受感染版本很可能能够访问本地文件、源代码和开发工具。
为什么损害有限？
这个恶意软件存在一个缺陷。打开 SSH 隧道的脚本在 macOS 和 Windows 上需要管理员权限，而在绝大多数情况下它并不具备，因此运行失败。Wired 将其称为一次好运。
Phorion 的 Calum Hall 表示，“大家都非常幸运，这本可能成为攻击者非常危险的立足点。”
不过这个缺陷并不能消除风险。扩展仍会发送所收集的数据，保留攻击者的密钥，并安装持久化机制。
责任在谁？
Anthropic 否认任何入侵。其技术团队的 Felix Rieseberg 写道，攻击者利用 Cursor 市场的访问权限发布了一个被篡改的副本，官方渠道的版本不受影响。关于此事的更多说明见我们关于 Claude Code 2.1.314 的文章。
早期的报道有所不同。Ars Technica 写道 2.1.313 据称是通过 Anthropic 在 Cursor 上的官方账户发布的。而据 Wired 报道，Cursor 表示这些恶意版本并非 Anthropic 开发。攻击者如何获得访问权限，至今仍未得到解释。
需要了解的局限
目前尚不清楚该软件包是如何进入市场的。Cursor 没有说明是否存在内部入侵，也没有回复 Wired 的询问。5000 名用户这一数字是公司声称的上限，并未经过独立核实。各方对持续时间的说法也不一致，Cursor 称约 11 小时，Ars Technica 称接近 12 小时。我们也不知道是否已有攻击成功的记录。
这对数字行业从业者意味着什么
如果你周四使用过 Cursor，请检查已安装的扩展版本。仅仅更新是不够的，因为修复后的版本并不会移除持久化机制。请按照 Cursor 发布的步骤和清理脚本操作，并排查是否存在不明的 SSH 密钥。如果你管理的服务器或代码仓库可以通过笔记本访问，应轮换凭据和密钥。此事件也说明了供应商在工作流程中的分量，这一话题我们在 NIS2 供应商登记指南中有所讨论。
我们的看法
攻击几乎在所有地方都失败了，这是运气，而不是防御的功劳。默认自动更新的扩展市场是通向开发者机器的特权通道，应当这样对待。Anthropic 强调其系统与此无关，这是正确的，但对用户而言这一区别意义不大，因为扩展上印的名字就是它的。我们需要 Cursor 公开说明攻击者是如何获得访问权限的。
常见问题
哪些人受到了 Claude Code 恶意扩展的影响？
只有使用 Cursor 并安装了 2.1.313 版本的用户。据 Anthropic 称，其官方渠道上的版本不受影响。Cursor 估计受影响用户最多 5000 人。
恶意版本存在了多长时间？
据 Cursor 和 The Register 称约 11 小时。周四 UTC 时间 09:27 至 20:35 期间可以下载。Ars Technica 则称接近 12 小时。
只要更新扩展就安全了吗？
不是。安装最新版本并不能清除恶意软件留下的持久化机制。你需要按照 Cursor 指定的步骤和脚本进行清理。
Anthropic 被黑了吗？
据 Anthropic 称没有。Rieseberg 和 Dworken 表示，其系统和员工笔记本均未遭入侵。攻击者据称是利用了 Cursor 市场的访问权限。
事件发生后 Cursor 做了什么？
它删除了恶意版本，出于谨慎暂时关闭了市场，并检查了其他扩展。它还轮换了自身密钥，并在一家云服务商的协助下切断了与攻击者服务器的连接。
未来几周对 Cursor 和 Anthropic 的期待
目前缺失的是原因。在 Cursor 解释攻击者如何进入之前，其他市场的风险依然存在。
- 关注 Cursor 可能发布的关于访问权限原因以及轮换密钥使用情况的报告。
- 留意 Anthropic 是否会直接通知客户，因为此前它并未这样做。
- 考虑在编辑器设置中关闭扩展的自动更新。
