专题 · FULL STORY

Claude Code 扩展投毒：从曝光到 Cursor 披露

10 月底，伪装成 Anthropic 官方标识的 Claude Code VS Code 扩展在 Cursor 市场遭供应链投毒，被植入 SSH 后门约 11 小时，波及约 5000 名用户。随后 Cursor 发布安全通告披露攻击细节并公布受影响版本，事件进入调查与善后阶段。

2026-10-30 ~ 2026-11-10 · 3 集 · 28 条

第 1 集 · 官方标识 Claude Code 扩展遭供应链投毒，波及约 5000 用户(2026-10-30,23 条)

官方标识的 Claude Code VS Code 扩展遭遇供应链攻击：自标识为 anthropic.claude-code 的恶意版本被投放到 Cursor 自营的扩展市场，extension.js 在合法代码前被插入 66 行 loader，激活后向用户 SSH 配置添加攻击者公钥并建立跨平台持久化后门。Cursor 官方确认相关版本于 10 月 29 日 09:27–20:35 UTC 上架约 11 小时，估计最多影响约 5000 名用户，随后下线整个插件市场。由于被投毒的是官方标识的扩展包（Marketplace 显示累计 2900 余万次安装）而非明显仿冒品，事件暴露了 IDE 扩展分发链路的深层信任风险。

已确认

  • Cursor 官方通报：被植入木马的 anthropic.claude-code v2.1.313 于 10 月 29 日 09:27–20:35 UTC 在其插件市场上架约 11 小时，估计最多影响约 5000 名用户，涉及 macOS ARM64 等平台；当日下午 Cursor 下线整个插件市场并与相关方协同处置。djcroman 补充称被篡改的版本涉及 2.1.312 / 2.1.313 两个版本号
  • 恶意版本由安全公司 Phorion 发现（Matt Johansen 亦早期披露），extension.js 在合法代码之前被插入 66 行恶意 loader
  • 激活后恶意代码会向用户 SSH 配置（/.ssh/authorizedkeys）添加攻击者公钥、尝试开启本地 SSH 服务并建立反向连接；Phorion 分析指出该后门具有跨平台持久化能力，覆盖 macOS、Linux 与 Windows
  • 该扩展在 Marketplace 显示累计安装量超过 2900 万次（feelspeaceman 转述研究人员的披露），官方标识包被篡改意味着潜在波及面极大
  • 据 banteg 转发的爆料，该扩展在 OpenVSX 上的发布者是 Anthropic 员工 Igor Kofman，尚不清楚是其账号被攻破还是其他发布环节被利用
  • cyb3rops 对流传说法作出澄清：被篡改的扩展是通过 Cursor 自建的扩展市场分发的，Anthropic 官方渠道、Microsoft VS Code Marketplace 与 Open VSX 上的正规版本均未受影响；此前多名研究者（jedisct1、banteg 等）将恶意版本的发布地描述为 Open VSX 注册表，两者描述存在出入，确切投毒入口仍待权威结论。jedisct1 补充指出 OpenVSX 是所有 VSCode fork 使用的商店，该扩展在 OpenVSX 上的发布者正是 Anthropic 员工
  • Anthropic 工程师 Felix Rieseberg 转发了 Cursor 的官方说明（EricBuess 转述），印证 Cursor 所称攻击者系利用其对扩展市场的访问权限发布被篡改版本
  • 0xkarasy 转述安全团队核查结论：微软 VS Code Marketplace 上的官方扩展与 Anthropic 的 npm 包均未受影响，恶意版本已下架
  • 0xOsprey 最早在圈内爆料此事（evilsocket 转发扩散），指出其几乎未获媒体报道，并警告供应链安全风险正在被忽视
  • dbasch 进一步指出问题的结构性根源：当前插件市场缺乏充分的签名与审核机制，任何人都可向 IDE 市场注入带后门的扩展，安全态势如同「蛮荒西部」

尚未确认

  • 据 EricBuess 转述的 Cursor 通报，该恶意版本并非 Anthropic 开发，与多数信源「官方扩展本身被篡改」的说法存在出入；发布账号究竟如何被利用、恶意版本的确切发布与分发路径尚待权威结论
  • amasad 提出该后门可能与 Binance 钱包被盗事件有关的猜测，纯属推测，无任何证据支持
  • WeldPond 等研究者质疑 Anthropic 在处置过程中「静默下架、未告知用户」，相关指责尚无官方回应

为什么重要

  • 投毒对象是官方标识、数千万安装量的扩展包而非明显仿冒品，且发布者疑似 Anthropic 员工本人账号，普通用户几乎无从辨别，凸显扩展注册表与 IDE 插件市场的供应链信任问题
  • 后门针对 SSH 配置与持久化机制，潜在影响远超单一 IDE 环境，受影响用户需检查自身 SSH 配置是否被添加未知公钥
  • 事件曝光初期几乎无人报道，反映出安全社区对 IDE 扩展供应链攻击的警觉性不足

还有 3 条相关讨论 →

第 2 集 · Cursor 市场遭入侵，Claude Code 扩展被植入后门 11 小时(2026-11-02,3 条)

10 月 29 日，Cursor 的 VS Code 扩展市场（Windows 与 macOS）遭黑客入侵，Anthropic 官方 Claude Code 扩展的 2.1.312 与 2.1.313 版本被替换为带 AI 后门的恶意版本，可植入 SSH 后门并持久化，传播持续约 11 小时。事件构成针对开发者默认信任工具链的供应链攻击，引发对 AI 工具生态信任风险的警示，Cursor 官方已作出披露。

第 3 集 · Cursor 披露恶意 Claude Code 扩展植入 SSH 后门(2026-11-09,2 条)

Cursor 发布安全通告，称其 VS Code 扩展市场出现被篡改的 Anthropic.claude-code 扩展（版本 2.1.312 和 2.1.313，Windows 端），潜伏约 11 小时，试图植入持久化 SSH 后门。Cursor 澄清恶意版本并非 Anthropic 官方开发，事件被定性为供应链投毒，提醒用户警惕来路不明的扩展版本。