被植入后门的官方 Claude Code 扩展，没有偷走你的 API 密钥或密码。安全厂商对恶意样本的拆解显示，它回传的是一份你本机的"地图"：主机名、用户名、系统与架构、家目录路径、工作目录、配置的 Git 邮箱、公网 IP，以及环境变量名。但这些变量只拿名字，不拿值，密钥本身并不在这次回传里。真正值得警惕的是它往你机器里装的东西：一把 SSH 公钥、一条反向隧道和一组开机自启项。恶意代码只是一次性入场，后门却独立于扩展存在——卸载扩展不会把它带走；一旦植入成功，攻击者能碰到的就不是扩展里的某项信息，而是整台开发机上的一切凭证。Cursor 官方博客知乎
事件发生在 10 月 29 日。北京时间 10 月 29 日 17:27 至次日凌晨 4:35（太平洋时间 02:27–13:35，约 11 小时），Cursor 扩展市场分发了被篡改的 `anthropic.claude-code` 2.1.312、2.1.313 两个版本，目标平台为 Windows 和 macOS。在架期间，最多 5,000 名请求了特定缓存版本的用户可能拿到恶意构建。这不是 Anthropic 构建的：有人借 Cursor 扩展市场的权限发布了一份被改过的扩展，官方渠道的版本不受影响，只影响 Cursor 用户。知乎Cursor 官方博客知乎
恶意代码在扩展加载时立即执行，不需要你点开 Claude 的任何功能，原插件的功能一切照旧，绝大多数中招者毫无感知。信标走明文 HTTP 直接 POST 到攻击者固定 IP 的 8099 端口。拿到这份"变量名清单"加主机信息，攻击者就能判断这台机器是不是开发机、对接了哪些云平台，属于精准攻击的前置踩点；但把它理解为"密码已经被偷走"，则超出了目前所有公开证据支持的边界。知乎
开门比侦察更要紧。载荷会向 `~/.ssh/authorized_keys` 追加攻击者的公钥，注释标签写成 svc-telemetry，混在正常运维配置里毫不起眼。随后它尝试开启本机 SSH 服务、建立反向 SSH 隧道，把外网流量引到本机 22 端口；持久化落在扩展目录之外——macOS 写 `~/.config/.smt/` 脚本和伪装成 `com.apple.sysmond` 的 LaunchAgent，Windows 建 SysMon 计划任务并在启动文件夹放 `sysmon.cmd`，脚本自带密钥重建逻辑，只删密钥文件会被启动项重新生成。Cursor 的公告也承认，开启远程登录需要管理员权限，由于恶意代码自身的错误，这一步在多数环境下会失败。但"一般会失败"不等于"没人生效"：就算开 SSH 失败，只要本机 SSH 本来就开着、公钥写入成功，门就同样存在。截至发稿，没有任何公开信源确认攻击者曾通过隧道实际登录受害机；Cursor 称已联合托管商下线攻击者服务器，其最后一次可疑活动停留在 11 月 1 日。知乎Cursor 官方博客知乎
同一攻击链里有一处数据是真的被拿走了，而且和扩展无关。Cursor 11 月 13 日的复盘还原了链条起点：攻击者先从 Fireworks（Cursor 的第三方推理/训练供应商）手里拿到一把 Cursor 发的访问密钥，复制了 Cursor 用于共享数据的只读存储桶里的编程会话轨迹——以 2025 年为主、均来自未开启 Privacy Mode 的会话——再顺着少量痕迹摸进 Cursor 使用的若干 SaaS 工具，最终才有能力篡改市场缓存。按 Cursor 口径，这些轨迹涉及不到 0.05% 的用户，其中不到 0.01% 的客户记录里含未脱敏的 API 凭证，Cursor 称已逐一直接通知受影响客户，没收到通知即意味着记录不在泄露范围里。这是目前公开信息中唯一"凭证确实外流"的环节，但它泄露的是训练日志里的少量凭证，不是每个安装者机器上的密钥库。知乎Cursor 官方博客
自查之前，先划清谁不在风险里。从 VS Code 官方市场和 Open VSX 安装 Claude Code 的用户不受波及，官方分发渠道从头到尾没有这个恶意包。受影响的判定是一个交集：10 月 29 日那个 11 小时窗口内、从 Cursor 扩展市场安装或更新过 Claude Code、版本落在 2.1.312 或 2.1.313；查出版本号对上的话，光卸扩展不够，后门脚本会自己留着跑。Hacker NewsCursor 官方博客知乎
自查全程只读，按顺序做：先确认扩展已更新到恶意版本之后的干净构建。再查 `~/.ssh/authorized_keys` 里的 svc-telemetry 条目，注意追加公钥时可能没保证换行，字符串检索命中不代表这条钥匙真的生效，检索不到也不能排除，安全分析的提醒是最终以公钥指纹核验为准。然后看 macOS 的 LaunchAgents、Windows 的计划任务与启动文件夹、`~/.config/.smt/` 目录。只要确认载荷执行过，就按"可能已被访问"处置：断网留证、从可信设备轮换 Git 与云服务密钥、翻查云端审计日志，而不是删了文件就安心。知乎
这起事件没有"密钥被批量偷走"那么耸动，但它把一条新边界摆到了所有 AI 编程工具用户面前：扩展市场的一个缓存层被攻破，就足以给你的开发机"开户"，而你卸掉的只是那个名字。截至 11 月 15 日，Anthropic 仍未就此发布正式安全公告，确认受害者数字、OAuth 令牌是否已轮换，公开材料中亦无官方口径。
