Cursor版Claude Code扩展被植入SSH后门，如何确认是否受影响？
機械翻訳 / Machine-translated
A
AI Friends
21時間前・10分で読める
機械翻訳 / Machine-translated
@aifriends
AI Friends（https://aifriends.jp）のクロスポスト公式アカウント。AIツールの紹介・使い方・できることを、中学生でもわかるやさしい日本語で届けます。
如果你日常使用的AI编程工具扩展，在你毫不知情的情况下被植入了后门，你会怎么办？2026年10月29日，这样的事件真实发生了。本文将以通俗易懂的方式，整理事件经过、自查方法以及应对措施。
Cursor（搭载AI的代码编辑器）在其官方安全公告中宣布，Anthropic出品的Claude Code扩展的篡改版本曾在其自家扩展应用市场上线发布。
不正当版本的上线时间为日本时间10月29日18时27分至10月30日5时35分，共约11小时。
受影响的版本为Anthropic.claude-code的2.1.312和2.1.313。在此期间完成安装或更新的环境均可能受到影响。
安全公司Phorion于10月30日发布了详细分析报告，使该问题广为人知。日本科技媒体GIGAZINE也于11月2日进行了报道。
值得注意的是，据Cursor说明，该篡改版并非由Anthropic制作。据报道，Anthropic相关人员也在Hacker News上解释称，Anthropic的系统及员工电脑均未遭到入侵，官方渠道发布的Claude Code不受影响。
恶意代码被插入扩展主体文件extension.js的开头。编辑器加载扩展时，会在正常功能执行之前先运行该代码。用户无需点击任何按钮。
据Phorion的分析，恶意代码依次尝试执行以下操作：
自启动方式因操作系统而异：macOS使用LaunchAgent，Linux使用cron，Windows使用任务计划程序。即使隧道断开，每隔60秒也会尝试重新连接。
此外，电脑名、用户名、操作系统类型、公网IP地址以及Git中设置的邮箱地址也被发送至攻击者一方。
另外，最多40个看起来像密钥或令牌的环境变量（用于存储配置值的命名变量）的名称也被发送。Phorion表示，未发现发送变量值本身的处理逻辑。
篡改版在密钥的注释字段中使用了"svc-telemetry"这一名称。因此，只需检查authorized_keys中是否残留该字符串，即可判断是否受害。
Cursor提供的确认命令如下。在macOS上，执行以下一行命令：
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"
在Windows上，在PowerShell中执行以下命令：
$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }
如果发现该密钥，请将设备视为已遭入侵处理。Cursor建议先将设备与网络断开进行排查，再使用修复脚本（macOS版remediate-macos.sh和Windows版remediate-windows.ps1）进行处理。
有一点容易被忽视：仅卸载扩展是不够的。篡改版留下的独立脚本在删除后仍可能继续运行。
Cursor还建议考虑重建主机。请从可信的其他环境，更换该电脑可访问到的所有凭据和会话。
关于影响范围，各方说法存在差异。
据Help Net Security报道，Cursor表示受影响用户最多为5,000人。
Cursor指出，在许多macOS和Windows环境中，由于管理员权限不足，启用SSH服务的操作会失败。Phorion也分析称，在macOS上，由于验证流程存在缺陷，普通用户权限下无法启用远程登录。
但这并不意味着可以高枕无忧。密钥的添加、自启动设置以及电脑信息的发送仍会执行。Phorion警告称，对于已启用远程登录或之后启用的电脑，后门可直接被利用。
设想一下某位上班族，每天早上打开Cursor开始工作。在扩展自动更新的那天，他本人毫无察觉，而能够访问公司代码仓库的电脑密钥，可能已经被注册到了攻击者手中。
攻击者的服务器虽然已经停止，但如果密钥和自启动设置仍然残留，仍有可能被其他服务器再次利用。因此，确认工作不可或缺。
关于问题来源于哪个应用市场，各方报道存在出入。Phorion最初的报告将其定为Open VSX（开源扩展分发网站）。
此后，Phorion将分发渠道更正为Cursor的应用市场。Help Net Security也指出，这一点在其文章中并未得到充分梳理。
养成查阅原始资料的习惯，有助于避免混淆。将Cursor、Phorion和Anthropic的说明对照阅读，更容易把握事件全貌。
针对VS Code系编辑器扩展的攻击，此前已有先例。名为GlassWorm的恶意软件利用了Open VSX中扩展的依赖关系，自2026年1月31日起，共发现72个恶意扩展，其中也有伪装成Claude Code等AI辅助工具的案例。
两者的手法有所不同。GlassWorm是混入伪造扩展；而本次事件是以官方名称发布的扩展本身被替换。仅凭名称进行核实难以防范，这正是此次事件棘手之处。
在日本，将Cursor和Claude Code用于工作的开发者也越来越多。由于此次篡改版的分发时间正值日本时间的夜间至清晨，日本用户同样有可能受到影响。
尤其是自由职业者和小型开发团队，往往由个人自行决定在工作电脑上安装哪些扩展，管理员未必能掌握每个人安装了哪个版本。
信息系统管理人员请首先确认以下三点：
在GlassWorm的解说中，核查依赖关系以及以组织为单位管理扩展白名单，被认为是切实可行的防护措施。
此类事件无法完全杜绝，但可以采取措施将损失降至最低。
首先，不要完全依赖扩展的自动更新，养成确认更新日期和更新内容的习惯。
其次，重新审视SSH设置。对于不使用远程登录功能的电脑，不启用该功能即可降低此类后门被利用的风险。
Phorion建议监控IDE辅助进程向authorized_keys写入的行为，以便及时发现异常动作。
最后，不要将密码或API密钥长期存放在电脑的环境变量中。此次事件中，看似密钥或令牌的环境变量名称也遭到了收集。
A. 据报道，Anthropic相关人员表示，Anthropic的系统未遭入侵，官方渠道发布的Claude Code不受影响。问题出在通过Cursor应用市场分发的篡改版上。
A. Cursor将macOS和Windows列为受影响对象。Phorion的分析显示，Linux也在影响范围内，恶意代码中包含通过cron设置自启动的处理逻辑。如果您使用Linux，建议也进行确认。
A. 并不安全。删除后，篡改版留下的密钥和自启动设置仍可能残留。请执行确认命令，如发现问题，请使用修复脚本进行清除。
A. Cursor已删除问题版本。但更新操作不会清除残留的密钥和自启动设置。曾安装过2.1.312或2.1.313的用户，请务必执行确认命令。
A. Phorion表示，确认了发送环境变量名称的处理逻辑，但未发现发送变量值本身的处理逻辑。不过，若后门被利用，电脑内的信息存在被查看的可能性。建议作为预防措施考虑更换相关凭据。
请先在自己的电脑上执行一行确认命令，并将结果分享给团队成员。
本文转载自 AI Friends。