Cursor 公告：10 月 29 日太平洋时间凌晨 2:27 到下午 1:35，其 VS Code 扩展市场上的 Anthropic.claude-code 2.1.312 和 2.1.313（macOS、Windows 版）是被恶意修改的版本，不是 Anthropic 开发的。插件一加载就会收集主机名、用户名、系统、家目录、环境变量名、Git 邮箱和公网 IP 发给攻击者，把攻击者的 SSH 公钥（备注 svc-telemetry）写进 authorized_keys，并尝试开启本机 SSH、建立反向隧道，用 LaunchAgent 或计划任务做开机自启。Cursor 已下架该版本、整个市场停机轮换密钥后恢复，并配合云服务商关停了攻击者服务器。
置信度：高（100） · 事件时间 2026-10-29
理由
- 这是对 AI 编程工具分发渠道的供应链攻击：据 Ars Technica 引 Phorion 和独立研究者 Kevin Beaumont，恶意版本是从 Anthropic 在 Cursor 上的官方认证账号发布的，覆盖了正常版本；Cursor 默认自动更新扩展，用户什么都不做也可能中招。攻击者怎么拿到这个账号，Cursor 和 Anthropic 都还没解释。
- 插件跑在 IDE 的权限下，能读本地文件、源代码和开发工具。Phorion 分析：只收集环境变量“名字”（匹配 KEY、TOKEN、SECRET、AWS 等，最多 40 个）而不取值，用来盘点哪台机器上有云凭证和 API 令牌，方便挑目标做后续攻击。
- 代码有缺陷：开启 SSH 服务需要管理员权限，大多数 macOS 和 Windows 机器上这一步会失败，攻击者无法从隧道登录；但公钥、自启脚本和主机信息上报仍然会完成，所以官方要求不管怎样都要清理。
用法
- 如果在 10 月 29 日上述时段从 Cursor 扩展市场安装或更新过该插件：macOS / Linux 运行 grep -qs svc-telemetry ~/.ssh/authorized_keys 检查（Windows 用公告里的 PowerShell 命令），找到就说明已受影响。
- 受影响机器按 Cursor 公告处理：下载官方 remediate-macos.sh（普通用户身份运行，不要用 root）或 remediate-windows.ps1（管理员 PowerShell）清除插件、自启项、隧道进程和公钥；单纯卸载插件不够。再从可信设备轮换这台机器上能访问的凭证和会话，必要时重装系统。公告和 Phorion 的分析都列了 IP、文件路径和哈希等入侵指标，可用于全公司排查。
风险
- “最多 5000 名用户受影响”来自 The Decoder 和 Ars Technica 转述 Cursor 的说法，Cursor 公告页面里没有这个数字。
- 受影响版本说法有过变化：Phorion 最初只写 2.1.313，10 月 31 日按 Cursor 更新后的公告改为 2.1.312 和 2.1.313；Phorion 称恶意代码也包含 Linux 逻辑，Cursor 公告只列了 macOS 和 Windows。
- 截至 Ars Technica 发稿时，Anthropic 没有发布面向用户的公告；账号被入侵的原因、是否影响其他分发渠道都未披露（Cursor 称没有证据表明其他版本或官方分发渠道受影响）。