2026 年 10 月 29 日，Cursor 扩展市场里上架了两个被篡改的 Claude Code 版本，2.1.312 和 2.1.313 顶着 Anthropic 的官方身份分发，开着自动更新的用户什么都不用点，也可能直接拿到它。 这两个恶意版本在线约 11 小时，最多 5,000 名用户可能拿到，11 月 13 日 Cursor 发布了完整复盘，把入口追溯到一把从供应商 Fireworks 手里流出的访问密钥。 拼起来看，没有一项用户操作失误是必要条件——几个「默认」叠在一起，就足以中招。知乎知乎
在线的 11 小时，这个包干了什么
最先发现异常的是安全公司 Phorion，它是在一位客户的 Mac 上撞见这段代码的。OpenSourceMalware 数过，恶意代码只有约 66 行，插在扩展主文件最前面，真正的扩展代码原样跟在后面，助手照常工作，用户从使用上看不出异常。知乎
这 66 行要做的，是把一把标签为 svc-telemetry 的攻击者 SSH 公钥写进授权文件、尝试开启本机 SSH 服务、建一条反向 SSH 隧道连回攻击者服务器，再用开机自启把隧道钉住，大约每 60 秒重试一次。 它同时回传主机名、用户名、操作系统、公网 IP、Git 邮箱，以及最多 40 个名字像密钥的环境变量名——只传变量名，不传变量值。 回传走的是 HTTP，不是加密通道。知乎知乎
发现之后，Cursor 关停了整个市场，审计、换密钥、重建后才重新开放；微软确认这个版本从未出现在 VS Code 市场和 npm，Socket 的核查也没有在 Open VSX 找到它，目前所有证据都指向一件事，这次只影响 Cursor 的市场。知乎
后来云服务商配合切断了隧道指向的服务器，但密钥一旦写下，切断不等于清除。知乎
复盘链条：一把流出的密钥，一串没开保护的记录
Cursor 在 11 月 13 日发布的完整复盘把链条串成这样：攻击者先从 Fireworks（Cursor 的第三方推理、训练供应商）手里拿到一把 Cursor 发的访问密钥，扒走了一批 2025 年为主、没开 Privacy Mode 的编程智能体记录，里面少量记录带着没脱敏的凭据，攻击者顺着摸进了 Cursor 用的一些 SaaS 工具，最后把篡改过的扩展塞进了 Cursor 扩展市场的缓存。知乎
11 月 15 日的通报口径同时确认：这次 10 月安全事件源于 Fireworks AI 密钥泄露，攻击者植入带后门的恶意 Claude Code 扩展，少量用户数据、凭证受影响，风险已受控。 有两个边界要先钉死：这不是 Anthropic 发的，也不是 Claude Code 本身的漏洞；上游 Open VSX 从头到尾没有这个恶意包。知乎知乎
但攻击者怎么拿到官方身份的发包权限，Cursor 和 Anthropic 都没有说清；Anthropic 技术人员「恶意行为者利用了 Cursor 市场的接入权限发包」的说法，目前还只算一方说法。 入侵路径不明，等于同类事件还有复发的口子。知乎
三个没兜住风险的默认
第一个默认：自动更新等于无条件接收。 恶意版本落盘不需要用户点击，渠道推什么，开着默认更新的机器就接什么。伤害之所以没有更大，靠的更像运气而不是防线：扩展一般没有管理员权限，在 Mac 和 Windows 上，这一步大多直接失败。 但「一般会失败」不等于可以不查——Mac 上开了远程登录、或 Windows 上任务以管理员身份跑的机器，门就可能真的打开。知乎
第二个默认：个人版把隐私开关留在关的位置。 以 Cursor 官方数据使用页的口径，Privacy Mode 企业版默认开、管理员可以强制全员开，个人版默认关，得自己手动开。 没开这个开关时，按官方原话，代码库数据、提示词、编辑器操作和代码片段都可能被使用并存储；这次被扒走的，恰好就是一批没开 Privacy Mode 的会话记录，里面还带着没脱敏的凭据。知乎
第三个默认：把扩展卸掉就没事。 密钥写在用户目录的 SSH 授权文件里，不在插件目录；Mac 上的持久化叫 com.apple.sysmond，Windows 上是一个叫 SysMon 的计划任务。 查出版本号是 2.1.312 或 2.1.313 的，光卸扩展不够，后门脚本会自己留着跑。知乎知乎
先查、再清、最后升
10 月 29 日在 Cursor 里安装或更新过 Claude Code 扩展的人，先查授权文件里有没有 svc-telemetry 这个标签，Cursor 通告里给了 Mac 和 Windows 的查法。 再对照启动项和计划任务，顺手看一眼「启动」文件夹里有没有一个 sysmon.cmd。知乎知乎
查到痕迹之后，按 Cursor 安全公告的顺序来，别自己乱删：先跑官方清理脚本清掉密钥和持久化痕迹，再升级到干净的版本。 如果机器上本来就存着生产环境的密钥，轮换要从一台干净的机器上做，轮换范围要按最坏情况算。知乎知乎
两条边界不能漏。Cursor 说没收到通知的用户，记录不在泄露范围里，Cursor 应用本体、官方更新和其他扩展都没被动过。 官方排查的文件指纹只覆盖苹果芯片 Mac 和 64 位 Windows，可脚本里有 Linux 的步骤，通告的痕迹清单里也有 Linux 路径，Linux 机器只能对照清单手工排查，覆盖不全的地方不能当成没有问题的地方。知乎知乎
团队和个人，各补一道动作
个人这边，新装或切回个人版时，把 Privacy Mode 开关作为装完第一件事。知乎
团队这边，要盘一遍所有人装的扩展版本，而不是只问有没有人装了 Claude Code；把自动更新的策略写下来，关键工具的更新，先在小范围试，再全量放开。知乎
这起事件里最值得记住的一句话：官方标志这次没有挡住问题，以后也不能只认标志。渠道越能干，用户越要留一双自己的眼睛。知乎
