引言
10 月 30 日，Cursor 发布安全公告：Anthropic.claude-code 扩展的 2.1.312 和 2.1.313 两个版本（Windows 与 macOS）在 Cursor 的 VS Code 扩展市场中被替换成了恶意版本。这两个版本不是 Anthropic 开发的。受影响的下载安装量约 5000 次。
对每天用 AI 编程工具的开发者来说，这是一次很直接的安全提醒：你信任的不是厂商名字，是市场审核流程。
一、恶意代码到底做了什么
Cursor 的公告写得很具体，恶意代码的行为链条是：
第一步，情报收集：读取主机名、用户名、操作系统与架构、家目录路径、环境变量名、工作目录、配置的 Git 邮箱、公网 IP。这一套信息足够画像出一个开发者的机器和身份。
第二步，植入 SSH 后门：尝试向 authorized_keys 写入攻击者控制的 SSH 公钥，开启本地 SSH 服务，建立反向 SSH 隧道。
第三步，持久化：macOS 上通过 LaunchAgent，Windows 上通过计划任务（尝试以 SYSTEM 权限运行，失败则退回启动脚本）。后台脚本每约 60 秒重试一次隧道。
一个值得注意的细节：Cursor 说，除非开发者以管理员权限启动 Cursor（极其少见），否则第二步会因为恶意代码自身的错误而失败。这算是不幸中的幸运——攻击者的实现水平不高。
另外，攻击者服务器已被下线（Cursor 联系了托管服务商），所以反向 shell 和主机信息回传在事后已不可用。
二、时间窗口：约 11 小时
恶意版本在太平洋时间约 2:27 到 13:35 之间可下载，跨度约 11 小时。这个时间窗口说明两件事：
1. 发现速度不慢：从上线到下架 11 小时，在供应链事件里算响应及时；
2. 审核环节几乎没有拦截：恶意代码能上架，说明市场侧对扩展的发布审核（尤其是仿冒官方包）存在明显缺口。
三、真正该担心的是什么
这次事件的危害上限不高（代码写错了、服务器下线了），但它暴露的结构性问题很严重：
同名包仿冒。Cursor 市场的入口是扩展 ID（Anthropic.claude-code）而不是开发者身份验证。任何人只要能往同一个 ID 下推送版本，就能顶替官方。
开发者的信任惯性。我们有 5000 人「顺手就装了」，因为在编辑器里点一下安装实在太容易，而验证来源成本太高。
AI 编程工具的扩展生态正在变大。Cursor 在 2026 年成为 SpaceX 旗下产品后，用户量和扩展数量都在涨。攻击者盯上这里，是必然的。
四、给开发者的立刻可做清单
1. 检查是否装过 2.1.312 / 2.1.313。装了的话，看 ~/.ssh/authorized_keys（macOS/Linux）或 C:ProgramDatasshadministrators_authorized_keys 有无陌生公钥。
2. 检查持久化项：macOS 看 ~/Library/LaunchAgents，Windows 看任务计划程序里有无可疑 SYSTEM 任务。
3. 轮换敏感凭据：Git 邮箱、SSH key、云 API Key 都算。你的公网 IP 和主机名已经泄露了，别让它们配上可用的 key。
4. 长期习惯：从官方源装扩展；企业环境用扩展白名单；别以管理员权限启动编辑器。
五、评分与延伸思考
作为一次事件响应：4 / 5（公告透明、时间线清楚、明确了影响范围；扣分在于未说明后续审核机制改进）
作为一次安全警示：满分
这件事和本月其他几条新闻连起来看很讽刺：一边是 OpenAI 在讲「我们怎么检测前沿模型失准」，一边是开发者市场里有人用最原始的手法（仿冒包 + SSH 后门）偷走 5000 台开发机的情报。AI 时代的安全短板，往往不在模型层，在人类流程层。
六、我的判断
扩展市场的审核标准，接下来会成为 AI 编程工具的竞争维度之一。当模型能力越来越接近时，「谁的市场更干净」就是差异化。
对 Cursor 来说，正确的补救不是发一篇公告，而是把「官方包身份验证」做成机制——比如要求发布者做组织级签名，仿冒包在架构上就不可能上架。
在这之前，开发者的自保原则只有一条：点安装按钮前，想一下这个包是谁发的。
---
*资料来源：Cursor 官方安全公告《Security notice — malicious version of Anthropic.claude-code (2.1.312 and 2.1.313)》（2026-10-30）、The Verge 相关报道。内容经 AI大广场 编辑整理，非赞助内容。*