10 月 29 日，Cursor 自家的扩展市场短暂上架了两个被篡改的 Anthropic.claude-code 版本：2.1.312 和 2.1.313，只针对 Windows 和 macOS。
换成北京时间，上架窗口是 10 月 29 日 17:27 到 30 日 04:35。Cursor 安全公告
装过的话，先别急着删扩展，查一行公钥。
先查 authorized_keys
恶意版本会往 `~/.ssh/authorized_keys` 追加一把注释为 `svc-telemetry` 的公钥，然后尝试开 SSH 服务、连反向隧道，再用 LaunchAgent 或计划任务留住隧道。
macOS 上直接跑：
```bash
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo “svc-telemetry key found” || echo “No key found; machine not impacted”
```
Windows 看 `%USERPROFILE%.sshauthorized_keys` 和 `C:ProgramDatasshadministrators_authorized_keys`。
查到 `svc-telemetry`，就说明机器已经被动过。Cursor
别只看扩展版本。恶意包可能已自动更新成干净版本，但释放出去的脚本还在。 官方脚本会清理扩展、持久化和隧道。Cursor
清理时别漏 LaunchAgent、计划任务和 `~/.config/.smt` 这类位置。
Windows 重点看计划任务 `SysMon` 和 `sysmon.cmd`。
清完再换掉这台机器上能碰到的 token、密钥和会话。
有人觉得 SSH 没开就没事。多数机器确实开不了，开启本地 SSH 服务要管理员权限，恶意扩展通常拿不到。Cursor 安全公告
但公钥已经写进去了，持久化也装上了，主机信息也发走了。攻击者今天进不来，不等于门锁没换过。
为什么官方 ID 没挡住
这次不是仿冒名字，包也不是 Anthropic 开发。恶意包用的就是官方扩展 ID `Anthropic.claude-code`，版本号也照常往上走。知乎
用户没做错什么，自动更新就把恶意代码拉了下来。问题出在分发环节，不在用户的判断。
扩展 ID、徽章、版本号都是市场展示的元数据，证明的是名字，不是来源。 只要有人能写进市场的存储或发布流程，恶意包就能顶着正版 ID 出现。知乎专栏
攻击者怎么拿到写入能力，Cursor 没说。能确认的是下架、关停市场、轮换密钥、重建。
仓库签名也挡不住：市场被攻破，它照样能给恶意包签。
要补上这个缺口，得靠发布者签名：包由 Anthropic 用自己的密钥签，经过哪个市场转手，被改过都对不上。知乎
5000 不是 5000 台被攻陷
最多 5000 这个数字，是 Cursor 对媒体给的上限，不是官方通告里的确认数字。 BleepingComputer 的报道说，恶意版本在线约 11 小时，影响全球约 5000 名开发者。知乎专栏IT之家
最多 5000 人下载过，不等于 5000 台机器都被完整攻陷。
多数机器的隧道步骤失败了，靠的是攻击者代码的 bug 和权限门槛。攻击者的服务器已经停了，反向 shell 和主机信息回传都失效了。Cursor
但落到机器上的东西不会自动消失。别把“没被登进去”当成“没被动手”。
现在做什么
先断网或隔离，再查公钥、清持久化和隧道进程，最后在可信设备上轮换凭证。官方脚本退出码非零，就说明还有残留。还没升级的，先更到 2.1.314 或更高。
如果自查没查到 `svc-telemetry`，至少说明攻击者的公钥没进来。
再核对扩展目录里有没有 `anthropic.claude-code-2.1.312-` 或 `2.1.313-`，以及安装时间是否落在窗口内。
Cursor 的市场被撕开一道口子，下次可能换成任何一家 AI 工具。
扩展 ID 证明名字，不证明来源。把高权限插件的更新放慢一点，把凭证收窄一点，比记住一个版本号更有用。
