安全研究人员近日在Cursor Marketplace分发的Claude Code for VS Code官方扩展中发现植入后门，涉事版本为Anthropic.claude-code 2.1.313，上线时间约11小时，受影响用户估计约5000名。该恶意版本目前已被撤下，攻击者控制的服务器也已关闭。Cursor已就此发布安全公告，但Claude Code开发商Anthropic尚未作出任何声明。
根据公开的技术分析，该恶意扩展在安装后会执行一系列信息收集动作，包括主机名、用户名、操作系统、架构、主目录路径、环境变量名称、工作目录、已配置的Git邮箱以及公网IP。这些信息构成攻击者识别目标环境的基础数据。
在权限维持环节，恶意代码尝试将攻击者控制的SSH公钥写入authorized_keys，启用本地SSH服务，并建立反向SSH隧道。研究人员指出，由于恶意代码本身存在缺陷，这一步骤除非Cursor以管理员权限启动（该情况极为罕见），否则会执行失败。攻击者同时尝试通过macOS的LaunchAgent或Windows计划任务使反向SSH隧道长期生效，其中Windows任务会尝试以SYSTEM身份运行，并以启动脚本作为回退方案，后台脚本大约每60秒重试一次建立隧道。
数据回传方面，恶意代码通过HTTP POST将主机详情和后门状态上报至8099端口上的/beacon路径。这一设计表明攻击者的目标不仅是单次入侵，而是试图将受影响主机纳入可长期控制的网络节点。
从时间窗口看，若用户于太平洋时间凌晨2:27至下午1:35之间从Cursor VS Code扩展市场安装Anthropic.claude-code 2.1.313或更新至该版本，则需要检查系统是否存在异常SSH配置、计划任务及网络连接。研究人员建议相关用户核查authorized_keys文件、本地SSH服务状态以及8099端口的出站流量记录。
此次事件的核心问题在于分发渠道的供应链安全。Claude Code是Anthropic推出的AI编程工具，其VS Code扩展属于开发者高频使用的工具类软件，通常具备较高的系统权限与文件访问能力。扩展市场作为第三方分发平台，其上架审核与版本校验机制直接决定了终端用户的安全边界。恶意版本在市场上线约11小时才被撤下，说明平台侧对扩展内容的检测仍存在响应窗口。
对开发者工具生态而言，该事件再次暴露了AI编程助手类产品的攻击面。此类扩展往往需要读取项目文件、执行本地命令并与外部模型服务通信，权限边界天然较宽。一旦分发环节被突破，攻击者可以借助开发者对官方扩展的信任完成初始植入。目前Anthropic的沉默使得事件范围、恶意版本的上架路径以及是否涉及账号或构建流程泄露等关键问题仍待确认，后续进展值得持续关注。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
