Cursor 的 Claude Code 扩展被植入 SSH 后门：如何判断自己是否受影响

先确认安装来源和时间

Cursor 发布安全公告称，有人将经过恶意修改的 Claude Code 扩展放进了 Cursor 的 VS Code 扩展市场。受影响的不是一段对话，而是编辑器安装并加载的扩展：恶意代码在扩展加载时运行，不需要用户先向 Claude 发送提示词。

Cursor 当前公告建议排查：是否在 2026 年 10 月 29 日 09:27 至 20:35 UTC 期间，通过 Cursor 扩展市场在 macOS 或 Windows 上安装或更新过 Anthropic.claude-code 2.1.312、2.1.313。换成北京时间是 10 月 29 日 17:27 至 10 月 30 日 04:35。企业还应结合设备清单、扩展更新记录和终端遥测核对，而不是只看现在安装的版本。

版本号本身并不能证明一台机器被感染。安装渠道、包内容和时间窗口都重要：Cursor 称恶意版本不是 Anthropic 开发的；研究机构 Socket 没有在 Open VSX 的公开变更记录中找到 2.1.313 的发布或删除记录。仅凭扩展名称相同，不能断定所有官方渠道的同名扩展都被投毒。

为什么不同报告提到的版本不一样

早期多份研究报告主要讨论 2.1.313。Cursor 在 10 月 30 日更新的公告则将 2.1.312 和 2.1.313 都列入其市场的排查范围，并提供了不同平台的包哈希；StepSecurity 的分析仍主要针对 2.1.313，并称其检查的 Open VSX 2.1.312 样本未包含所列指标。

这两句话并不自动矛盾：同一个扩展名和版本号，来自不同分发渠道时需要核对实际包内容。但目前各方对 2.1.312 的证据说明并不完全一致。使用 Cursor 市场的读者应先按 Cursor 的较宽范围排查，再用官方公布的包哈希、安装记录和主机痕迹缩小范围；不要据此宣布所有渠道的 2.1.312 都是恶意版本。

扩展为什么能留下 SSH 后门

编辑器扩展不是单纯的提示词或网页内容。扩展加载后，可以在本机运行代码，并以编辑器进程拥有的用户权限访问对应的文件和系统能力。正常的 Claude Code 扩展仍可能看起来能用，而被插入的代码先在后台做别的事。

Cursor 说，这个恶意扩展会收集主机名、用户名、系统、工作目录、Git 邮箱和环境变量名称等信息，并尝试把攻击者公钥加入 authorized_keys、启用本地 SSH 服务、建立反向 SSH 隧道，再用系统启动项或计划任务维持连接。报告中提到的环境变量名称，不应直接扩大成已确认上传了所有变量值。

SSH 公钥像一张可用于验证登录的凭证：如果被加入允许登录的列表，且 SSH 服务、网络路径和账户权限等条件同时满足，持有对应私钥的一方可能通过该入口登录。反向隧道的作用是从受害设备主动建立连接，让原本不直接对外开放的 SSH 服务出现一条可到达的路径。

Cursor 公告同时指出，恶意代码中存在错误，且启用本机 SSH 服务通常需要管理员权限；多数未以管理员权限运行 Cursor 的主机上，这一步会失败。因此，发现恶意扩展或公钥，不等于已经证实攻击者成功登录。但写入公钥、持久化和信息上报等动作仍需按实际证据排查。

发现线索后，为什么不能只点卸载

如果扩展执行过并写下独立的启动项或脚本，删除编辑器里的扩展目录并不会必然撤销这些改动。Cursor 公布的排查线索包括 SSH 授权密钥中的 svc-telemetry 注释，以及 macOS 的 LaunchAgent、Windows 的计划任务和启动项等；具体路径、哈希与平台差异以公告为准。

别把某个文件名当成唯一结论：同名条目需要核对完整公钥指纹、安装时间和其他证据；没有找到该注释也不能单独证明设备绝对安全。尤其是扩展已被移除、日志被覆盖或执行不完整时，应结合终端与网络记录判断。

若有执行或后门安装迹象，先按组织流程隔离主机、保留安装记录和相关日志，再从可信设备轮换该主机可能接触的令牌、密钥及会话。Cursor 建议清除未授权公钥、持久化和隧道进程，并评估重建主机；公告也提供分平台处理脚本，运行前应由负责人员审阅并确认适用环境。

时间窗口结束，不代表历史风险自动消失

Cursor 称已下架恶意版本、重建扩展市场，并与托管方合作使攻击者服务器下线。这会阻断公告中所述的服务器连接，但不会自动移除曾在用户设备上落地的持久化文件，也不能反向证明此前没有发生过其他访问。

这次值得排查的核心是扩展分发链：是谁提供安装包、更新来自哪个市场、实际运行的文件和权限是什么。即使扩展显示了熟悉的发布者名称，也需要结合分发渠道和端点行为判断；对仍有争议的版本范围，保留安装包和证据比根据一条截图下结论更有用。