Cursor扩展市场里的Claude Code插件被投毒，最多5000人中招

10月29日，Cursor用的扩展市场里出现了一个”Anthropic.claude-code 2.1.313″。名字、发布者看着都对，但它不是Anthropic发的。

这是一次典型的供应链投毒。被篡改的扩展装上之后会先收集主机信息，然后往 ~/.ssh/authorized_keys 里塞进攻击者的公钥，再建一条反向SSH隧道。macOS、Linux、Windows三个平台都在攻击范围里。

最麻烦的一点是持久化：就算你后来把插件卸了，写进去的公钥还在，后门照样能用。

Cursor方面的说法是，最多约5000名用户受影响。因为建隧道需要管理员权限，多数机器上这一步失败了；macOS上恶意代码的权限检查逻辑本身也有漏洞，开启远程登录这一步可能会卡住。攻击者没能全面得手，但这不是可以松口气的理由。

Cursor的处理还算干脆：下架该版本，整个扩展市场临时关闭，轮换密钥之后再重新上线，攻击者的服务器也已经下线。

为什么偏偏是Claude Code插件？道理很简单，装它的人基本都是开发者，机器上有代码仓库、云服务凭证、SSH密钥，一台机器的价值远高于普通用户。而Cursor这类VS Code分支编辑器用的是OpenVSX这样的第三方扩展市场，审核力度和微软官方市场不在一个水平上，假冒”官方插件”的门槛不高。

如果你在10月29日前后用Cursor装过或更新过Claude Code扩展，建议做三件事：确认扩展版本不是2.1.313；打开 ~/.ssh/authorized_keys，看有没有不认识的公钥；把这台机器上存过的密钥和令牌轮换一遍。

AI编程工具越火，冒充它的东西就越多。插件这条链路，接下来大概还会出事。