10 月 29 日早上，很多人的 Cursor 里弹出过一条「Claude Code 扩展更新成功」。没报错、没预警，图标都没变——但这个版本的扩展，不是 Anthropic 发的，是被塞了后门的假货。
现在 Cursor 官方完整复盘（11 月 13 日）已经发出，当时中招的那批 Mac 用户，该花 1 分钟检查一下自己的电脑了。知乎
到底发生了什么
按 Cursor 的安全公告，10 月 29 日太平洋时间约凌晨 2:27 到下午 1:35，自家扩展市场里的 Anthropic.claude-code 被换包，恶意版本是 2.1.312 和 2.1.313，Windows 和 macOS 都中招。恶意包一共挂了约 11 小时，最多 5,000 名用户可能装到过。知乎知乎知乎
先说三个安心的点：
Anthropic 没被黑，是有人用偷来的凭据把假包塞进了 Cursor 市场。知乎
VS Code、Open VSX 等官方渠道不受影响，Cursor 市场里下载的其他扩展也没有被动过。知乎
Cursor 已下架两个版本、轮换密钥并重建市场，攻击者的服务器也已被托管商关停。
它装上之后干了什么
这东西不需要你跟 Claude Code 说任何话，扩展加载阶段就会自己跑：把主机名、用户名、系统、公网 IP、Git 邮箱、环境变量名打包上报，然后尝试往 authorized_keys 追加攻击者的 SSH 公钥（注释字段写着 svc-telemetry）、开反向 SSH 隧道、装开机自启持久化，每 60 秒重试一次。知乎
重点提醒：卸载扩展 ≠ 清干净。公钥、隧道脚本、自启项全部落在扩展目录之外——卸载扩展只是把招牌摘了，后门还在后屋待着。知乎知乎
Mac 上 1 分钟只读自查
10 月 29 日用 Cursor 装过或更新过 Claude Code 扩展的人，值得花 1 分钟跑一遍只读自查，不会改任何东西。把这三条逐行贴进终端：知乎
```
grep -n “svc-telemetry” ~/.ssh/authorized_keys
ls -la ~/Library/LaunchAgents
ps aux | grep -i “ssh.*-R” | grep -v grep
```
第一条看你的 authorized_keys 里有没有混进陌生公钥（可再按官方公告的指纹 SHA256:0Z6R+DF6… 核对）。第二条看自启目录（LaunchAgents）有没有不认识的文件。第三条看有没有活着的反向隧道进程。知乎
好消息是，Cursor 自己承认恶意代码有 bug：除非你当时是用管理员权限跑的 Cursor，加公钥那一步一般会失败。但「一般会失败」不等于「可以不查」。知乎
查到了怎么办
先别慌也别乱删，严格按 Cursor 官方安全公告的顺序跑官方修复脚本，然后从一台可信的干净机器上，轮换本机可触达的所有凭据：SSH 密钥、Git 令牌、云服务密钥、密码管理器。知乎
一个 takeaway
这次事件里最贵的误区是「市场更新 = 官方 = 放心」。弹窗一关继续敲代码，没人想到自家市场会塞假货。给所有 Mac 上的 AI 编程用户两个动作：检查一遍手头的自动更新来源，顺手开启 Cursor 的 Privacy Mode——AI 编程扩展天然能读写代码库、执行终端命令，权限比你想的大，别用装普通插件的心态装它。
