AI编程工具Cursor的官方插件商城Cursor Marketplace于10月29日上线了一个被篡改的Anthropic Claude Code扩展，持续分发约11小时，全球约5000名开发者可能受影响。Cursor已确认该恶意版本试图在用户设备上安装持久性SSH后门，目前相关扩展已下架，整个扩展市场被临时关闭以进行安全审查。
据安全媒体bleepingcomputer报道，涉事恶意版本编号为2.1.313，在太平洋时间凌晨2:27至下午1:35之间分发，对应北京时间为10月29日17:27至10月30日凌晨4:35。Cursor Marketplace是用于发现、安装和管理插件的官方市场，开发者通过该渠道为Cursor的AI Agent接入外部工具、数据源和工作流，此次事件直接触及AI编程工具生态中的插件分发环节。
安全研究人员发现，攻击者并未改动原有合法功能代码，而是在扩展的extension.js文件开头插入了一段恶意JavaScript加载器。开发者安装该恶意版Claude Code后，恶意代码即自动运行，无需与Claude Code进行任何交互。这一手法使恶意行为隐藏在正常功能之下，降低了被用户察觉的概率。
在信息收集层面，该恶意程序会获取用户名、主机名、公网IP、Git邮箱以及与敏感凭据相关的环境变量名称，并将上述信息发送至攻击者控制的服务器。在持久化层面，程序会添加攻击者控制的SSH密钥，尝试启用SSH访问、建立反向隧道，并通过macOS LaunchAgent或Windows计划任务、启动脚本实现驻留，连接重试频率约为每分钟一次。
不过，恶意代码在SSH配置环节存在明显错误，导致许多Windows和macOS设备可能未能被成功开启远程访问。例如在macOS上，程序未以管理员权限执行检查命令；在Windows上，则错误地调用了Unix shell路径/bin/sh。这一实现缺陷在一定程度上限制了攻击的实际影响范围。
事件发生后，Cursor已下架恶意扩展，并临时关闭整个扩展市场，用于审查其他插件并轮换访问密钥。该公司还协同托管服务商关闭了攻击者服务器，切断了反向SSH连接与数据回传通道。Cursor表示，未发现其他扩展版本或官方分发渠道受到影响，但尚未说明攻击者如何以Anthropic名义发布被篡改的软件包。
此次事件暴露出AI编程工具插件生态中的供应链风险。随着AI Agent接入外部工具的需求增长，插件市场成为开发者工作流的重要组成部分，其审核机制与发布权限管理直接关系到开发环境的安全边界。对于依赖第三方扩展的开发者而言，安装来源与版本校验的重要性进一步上升。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
