Cursor 確認其 VS Code 擴充功能市集曾短暫上架遭植入 SSH 後門的 Claude Code 擴充功能 2.1.313，惡意版非 Anthropic 開發，約 11 小時窗口內至多約 5,000 名使用者受影響；公司已下架惡意版並公布排查與修復步驟。
（前情提要：以太坊開發者安裝「惡意 AI 插件」遭駭，加密錢包三天清空，十年資安經驗也沒用）
（背景補充：月下載近億次 AI 套件 LiteLLM 爆供應鏈攻擊，加密錢包、SSH 金鑰全面淪陷（含緊急修復步驟））
Cursor 於台北時間 10 月 29 日公布安全公告，指出自家 VS Code 擴充功能市集曾出現 Anthropic.claude-code 版本 2.1.313 的惡意改版，並明寫該版本「並非 Anthropic 開發」。公司估計至多約 5,000 名使用者受影響，並表示將主動聯繫。
惡意版可安裝的時間窗約為太平洋時間當日凌晨 2 時 27 分至下午 1 時 35 分，約 11 小時；換算台北時間約落在 10 月 29 日傍晚至 30 日清晨。窗口關閉後，Cursor 已下架該版、短暫關閉市集、輪換金鑰並重建市集。
惡意擴充功能蒐集主機資訊並嘗試植入 SSH 後門
依 Cursor 公告，惡意程式碼會蒐集主機與使用者資訊，包括主機名稱、使用者名稱、作業系統、架構、家目錄路徑、環境變數名稱、工作目錄、設定的 Git 電子郵件，以及公開 IP。
接著它會嘗試把攻擊者控制的 SSH 金鑰寫入 authorized_keys（金鑰註解為 svc-telemetry）、開啟本機 SSH 服務，並建立反向 SSH 隧道；同時透過 macOS LaunchAgent 或 Windows 排程工作／開機腳本做持久化，背景腳本約每 60 秒重試一次隧道。
外洩與狀態回報則走 HTTP POST beacon，連到攻擊端 :8099。Cursor 已與雲端供應商合作，將攻擊伺服器下線，反向 shell 與主機資訊回傳目前無法運作。
多數筆記型電腦無管理員權限時，遠端登入未必成功
公告特別點出：在多數 macOS 與 Windows 環境，若 Cursor 並非以管理員權限啟動，開啟本機 SSH 這一步會失敗，攻擊者未必能經由隧道登入。即便如此，惡意版仍可能寫入 SSH 金鑰、裝上持久化機制，並送出主機資訊。
Cursor 強調，僅卸載擴充功能可能不夠，因為酬載會留下獨立的持久化腳本。受影響使用者需移除未授權金鑰、持久化與隧道程序，並從可信系統輪換憑證與工作階段；公司也提供各平台檢查指令與修復腳本。
目前沒有證據顯示其他版本或官方發行管道同樣遭竄改；Cursor 稽核後亦表示未發現其他擴充功能被動手腳。
資安圈視角：供應鏈破口，不是 Anthropic 官方系統遭駭
資安研究員 Kevin Beaumont 等後續討論多聚焦供應鏈與 SSH 遠端存取風險，部分標題以「Anthropic 遭駭」帶過；但依 Cursor 官方表述，惡意版並非 Anthropic 開發，主軸是 Cursor 市集短暫上架遭改寫的擴充功能包，而非已證實 Anthropic 官方系統失守。
對每天在筆記型電腦上裝 AI 擴充功能的開發者來說，這次事件把「市集裡看起來像官方的套件」重新拉回資安第一線：名稱對得上，不代表發佈管道可信。
AI 開發工具鏈的市集信任成本正在升高
Claude Code 這類工具權限接近本機開發環境，一旦擴充功能市集被植入後門，受害面不只是單一編輯器，還可能波及 SSH、憑證與日常工作機上的敏感設定。Cursor 選擇公開指標、修復腳本並主動聯繫受影響使用者，把窗口縮在約 11 小時、影響估在至多約 5,000 人，顯示這類市集事故的處置節奏，已跟傳統軟體供應鏈事件同一等級。
對仍在用 Cursor 裝 Claude Code 的人而言，當務之急是對照公告時間窗檢查是否曾更新到 2.1.313，並依官方步驟清掉金鑰與持久化殘留，而不是只按一下卸載就結束。
📍相關報導📍
AI 代理 12 小時攻破 Anthropic 內網，川普官員憂「中國也不遠了」
Claude Code 推出 mods：內建功能、介面、行為全能換，核心越縮越小
OpenAI 終止合作 Cursor：不給新模型，舊的到 11 月 12 日
Claude Code 開發者小心AI 模型聚合服務「偷加密貨幣」，研究實測 428 個 LLM Router：26 個複製憑證、1 個盜走 ETH
