Claude 扩展在 Cursor 被植入后门：开发者怎么自查

这两天开发者最该马上处理的事：Cursor 扩展市场上的官方 Claude Code for VS Code 扩展，有一个版本被植入了后门。据 Ars Technica 报道，恶意版本在市场上挂了将近 12 小时，最多影响约 5000 名用户。

如果你在 Cursor 里装过 Claude 扩展，可以先跳到”怎么自查”，确认有没有装过 2.1.313。

发生了什么

把两份报道的信息整理一下：

出问题的版本：Claude Code for VS Code 扩展 2.1.313，发布在 Cursor Marketplace 上。安全公司 Phorion（部分报道写作 Phorian）发现了这个问题。
怎么发出去的：据独立研究员 Kevin Beaumont 和 Phorion 联合创始人兼 CTO Luke Roberts 的说法，这个版本是通过 Anthropic 在 Cursor 上的官方账号发布的，相当于顶替了原来的 2.1.312。Roberts 称这是一起供应链入侵：攻击者拿到了官方分发渠道的访问权。
为什么会扩散：Cursor 里的扩展默认自动更新。用户不用做任何事，就可能被升级到恶意版本。
处理情况：Anthropic 在数小时后推送了 2.1.314；Cursor 已经下架 2.1.313，NPM 和 VS Code 注册表里的同版本也被撤下。
还没说清的：截至报道时，Cursor 和 Anthropic 都没有解释攻击者是怎么控制这个账号的，Anthropic 也还没有向客户发出警告。

后门具体干了什么

Phorion 的技术分析比较详细，用大白话说就是这几步：

1. 装上就执行。恶意代码被塞在 extension.js 文件的最前面，Node 一加载文件就运行，比扩展正常的启动逻辑还早。你不用点开扩展、不用用它，代码就已经跑了。 2. 在你的电脑上放一把”别人的钥匙”。它会把攻击者的 SSH 公钥追加到 ~/.ssh/authorized_keys，这把钥匙的备注是 svc-telemetry，看起来像个遥测服务，很容易被忽略。 3. 试图打开 SSH 服务。Linux 上尝试用 systemctl 等方式启动 sshd；macOS 上尝试打开”远程登录”；Windows 上尝试用 PowerShell 安装并启动 OpenSSH Server。 4. 持久化并回传信息。它会写入持久化机制，并把主机侦察信息发回给攻击者。

有两个细节值得一提：

它没有用提权漏洞。开启系统服务用的是非交互式 sudo -n，如果你没配过免密 sudo，这一步通常会失败。
代码本身有 bug。macOS 上它无权读取远程登录状态，拿到的是报错而不是”Off”，于是跳过了开启 SSH；Windows 路径硬编码了 /bin/sh，也走不通。

但别因此放松。Phorion 的结论是：即便 macOS 上入站通道被 bug 破坏，密钥和持久化仍会写入，信息仍会回传，依然是重大威胁。

怎么自查

按这个顺序来：

1. 看扩展版本。在 Cursor 的扩展面板里找到 Claude Code 扩展，看当前版本号，也回忆一下最近有没有自动更新过。只要装过 2.1.313，就按”已中招”处理。 2. 查 authorized_keys。打开 ~/.ssh/authorized_keys，看有没有你不认识的公钥，尤其是备注为 svc-telemetry 的条目。注意：Phorion 特别提醒，恶意脚本只按备注字符串判断是否已写入，所以排查时应该比对公钥指纹，不能只搜备注。 3. 看 SSH 服务状态。Linux 查 sshd 是否被意外启用；macOS 看系统设置里的”远程登录”有没有被打开；Windows 看是否多了 OpenSSH Server 服务。 4. 查持久化项。看开机启动项和计划任务有没有陌生条目。 5. 升级或卸载。把扩展更新到 2.1.314 或之后的版本；如果不确定，先卸载再重装。

如果确认中招，按事件响应处理：删掉陌生公钥、关闭不需要的 SSH 服务，并轮换这台机器能访问到的凭证（仓库令牌、云平台密钥、API key）。扩展以当前用户权限运行，能读到本地文件和源代码，凭证泄露不能排除。

这件事说明了什么

“官方”不等于”安全”。 这次恶意版本走的是官方账号、官方市场，”只装官方的”这条防线直接失效了。

自动更新是一把双刃剑。 它能让你第一时间拿到修复，也能第一时间拿到恶意版本。开发机上的关键扩展可以考虑改成手动更新，Cursor 允许在设置里调整。

AI 编程工具正在成为新的攻击面。 这类扩展要读代码、跑命令、连网络，权限大、用户多、更新勤，类似事件以后大概率还会有。

给开发者的几条建议

开发机上尽量不配免密 sudo，这次开启服务那一步正是因此失败。
定期看一眼 ~/.ssh/authorized_keys；敏感凭证能用短期令牌就用短期令牌。
团队统一管理扩展版本，出事时能快速定位。
关注官方后续说明：账号是怎么被控制的，决定了其他扩展是否有类似风险。

信息来源

更多每日 AI 热点见 best2ai.com

原创文章，作者：admin，如若转载，请注明出处：https://www.doc200.com/1764.html