分类：AI编程
安全研究机构 Phorion 发现，Cursor 扩展市场中分发的 Claude Code for VS Code 官方扩展包被植入后门。受影响版本为 2.1.312 和 2.1.313。该后门会在开发者机器上写入 SSH 公钥，并尝试建立长期访问。Cursor 已下架相关版本。对使用 AI 编程插件的开发团队而言，这是一次直接指向编辑器扩展供应链的安全事件。
两个版本被标记受影响，后门逻辑覆盖多平台
根据 Phorion 的披露，这款被篡改的扩展包会在 macOS、Linux 和 Windows 上尝试建立持久化 SSH 后门。文章重点分析了 macOS 上的行为。在 2026 年 10 月 31 日的更新中，Cursor 安全公告将 macOS 和 Windows 平台上的 2.1.312 与 2.1.313 列为受影响版本；此前披露只提到 2.1.313。
Cursor Marketplace 为 Cursor 编辑器提供扩展。由于扩展通常以 IDE 和当前用户的权限运行，恶意扩展一旦被加载，就可以接触本地文件、源代码和开发者工具。Phorion 表示，Cursor 已从市场移除受影响版本，并建议组织立即检查环境中是否使用过 Claude Code for VSCode 2.1.312 或 2.1.313；如果发现相关使用痕迹，应启动事件响应。
加载即执行：攻击瞄准开发者本机权限
从技术细节看，被篡改的是 extension.js 文件。Phorion 发现，恶意代码以立即执行函数表达式的方式插入到压缩后的扩展包前端。文件其余部分仍保留常见扩展形态，包括 Claude Code、VS Code 相关字符串，以及正常的 activate、deactivate 导出和界面代码。
这个前缀会引入 Node.js 标准模块，包括 child_process、fs、os、path、http 和 crypto，并在 Node 加载文件时立即运行。也就是说，恶意逻辑先于扩展正常激活函数执行，用户不需要主动调用插件。
在 macOS 路径中，后门首先确认 ~/.ssh 目录存在，然后向 ~/.ssh/authorized_keys 追加一枚攻击者控制的 Ed25519 公钥，并将目录权限设为 0700，将 authorized_keys 文件权限设为 0600。该公钥注释为 svc-telemetry。脚本在写入前会检查文件中是否已出现 svc-telemetry，而不是检查公钥本身。因此排查时，不能只搜索注释字符串，还应核对公钥指纹。
macOS 上的一个实现失误削弱了入站访问
这组恶意代码的目标是让持有私钥的攻击者获得长期交互式访问。若 SSH 服务已经开启，写入 authorized_keys 后，攻击者就可以尝试以该用户身份登录。但 Phorion 指出，恶意代码在 macOS 上启用 SSH 的步骤存在明显失误。
脚本会执行 systemsetup -getremotelogin，并只在输出包含 Off 时，才尝试用 sudo -n systemsetup -setremotelogin on 打开远程登录。问题在于，标准用户运行该命令时无法读取状态，系统会输出需要管理员权限的提示，并以状态 0 退出。由于输出不包含 Off，脚本会跳过启用 SSH 的步骤。因此，在一台原本没有开启 SSH 的 Mac 上，入站访问路径会因为这个错误而中断。
不过，Phorion 同时强调，即便 SSH 启用失败，恶意代码仍会写入 SSH 密钥并安装持久化组件，还会向操作者回传主机侦察信息。该样本并未包含提权漏洞，非交互式 sudo -n 是否能成功，取决于用户是否已有免密 sudo 缓存或配置。
其他平台也有实现痕迹。素材提到，恶意代码包含面向 Linux 的安装和持久化逻辑；Windows 代码路径中则存在另一个问题：PowerShell 服务配置命令通过一个硬编码 /bin/sh 的辅助函数执行，这在标准 Windows 安装上很难正常工作。
对开发团队意味着什么
这次事件的价值不在于单个后门多么复杂，而在于它击中了 AI 编程工具的日常入口。开发者安装扩展时，往往默认市场中的官方包经过审核；但扩展一旦获得 IDE 权限，就能触达代码文件、终端环境和开发工具链。对于企业研发团队，排查范围可以从以下几个方向展开：
- 确认是否安装或分发过 Claude Code for VSCode 2.1.312、2.1.313；
- 检查受影响主机的 ~/.ssh/authorized_keys，重点核对 svc-telemetry 相关条目及公钥指纹；
- 审查 macOS 远程登录、Linux SSH 服务和 Windows 可疑服务配置；
- 对发现异常的开发机进行隔离、取证和事件响应。
AI 编程插件的安全问题正在从模型能力竞争延伸到供应链治理。扩展市场、插件签名、版本校验、开发机权限和日志监测，都需要被纳入同一套安全流程。对开发者而言，这次事件的直接动作很明确：先确认版本，再检查 SSH 授权密钥，然后把受影响的机器当作潜在入侵现场处理。
原创文章，作者：点点，如若转载，请注明出处：https://www.dian8dian.com/cursor-shi-chang-claude-code-kuo-zhan-bei-zhi-ru-hou-men-ai
