Cursor 在 11 月 13 日正式放出这次十月供应链攻击的完整溯源公告，整个事件的源头是 Cursor 给到 Fireworks AI 的访问密钥发生泄露，攻击者拿到密钥之后，从只读存储桶里拿到历史会话追踪数据，从里面捞到进一步可用的凭证，最后利用这套权限篡改缓存，在自家扩展市场上架被投毒的 Claude Code 扩展，向安装用户植入持久化 SSH 后门；这次事件不是 Anthropic 官方包被篡改，也不是 VS Code 官方市场出事，只局限在 Cursor 扩展市场缓存渠道，恶意版本在线投放大约 11 小时，最多约 5000 名开发者有可能下载到 2.1.312、2.1.313 这两个带后门的版本，恶意程序会收集本机信息、写入攻击者 SSH 公钥、尝试开机自启维持反向隧道，就算后面卸载扩展，留在系统里的密钥和定时任务依然存在风险，Cursor 已经完成密钥轮换、关停攻击服务器、提供清理脚本，同时公开完整攻击链路，提醒开发者按照指引自查主机，不要只简单删掉插件就认为风险解除。
一、完整攻击链路梳理
整条攻击链条分成四步，起点是跨合作方的密钥泄露，终点落到开发者本地后门植入。
- 密钥外泄：Cursor 下发给 Fireworks AI 的访问密钥发生泄露，攻击者拿到密钥后访问只读存储桶，桶内存放往年部分代码 Agent 会话追踪记录，其中一部分记录里包含未脱敏凭证。
- 权限横向移动：攻击者从追踪记录里提取有效凭证，拿到操作 Cursor 扩展市场缓存的权限，不是拿到发布者账号，而是直接替换缓存里的安装包。
- 投毒上架：把篡改后的恶意 Claude Code 扩展写入缓存，用户在 Cursor 内置市场下载对应版本，就会拉取到恶意包；官方 Open VSX、微软 VS Code 市场不受影响。
- 本地执行驻留：扩展加载时自动运行恶意载荷，采集设备信息、写入 SSH 公钥、配置开机持久化，尝试建立反向隧道，拿到开发者机器远程访问通道。
二、恶意扩展行为清单
恶意版本是标注为 Anthropic.claude-code 的 2.1.312、2.1.313，支持 Windows、macOS。
- 信息采集：主机名、用户名、系统版本、工作目录、Git 邮箱、公网 IP、环境变量名称，打包外传至攻击者服务器。
- SSH 后门写入：向 authorized_keys 追加攻击者控制的 Ed25519 公钥，伪装成遥测服务密钥。
- 尝试开启 SSH 服务：普通权限下大概率失败，只有 Cursor 使用管理员身份启动时成功率更高。
- 持久化配置：macOS 通过 LaunchAgent、Windows 通过计划任务，每 60 秒重试连接攻击者隧道。
- 攻击服务器已经下线，新的反向连接无法建立，但已经写入系统的 SSH 密钥依然保留访问权限。
三、事件关键时间线
| 时间节点 | 事件内容 |
|---|---|
| 10-29 凌晨 2:27（PT） | 恶意扩展缓存包上线，开始对外分发 |
| 10-29 下午 13:35（PT） | Cursor 监测异常，紧急下架恶意包，关停扩展市场 |
| 10-29 当天 | 发布首条安全预警，给出 IOC 和清理指引 |
| 10-30 | 发布补充公告，扩大通知范围，联动云厂商拿下攻击服务器 |
| 11-13 | Cursor 放出完整溯源结果，确认根因来自 Fireworks AI 侧密钥泄露 |
四、受影响边界说明
- 受影响渠道：仅限 Cursor 内置扩展市场缓存，Open VSX、微软官方 VS Code 市场、npm 官方包没有被污染。
- 受影响版本：只有 2.1.312、2.1.313，其余 Claude Code 版本正常。
- 受影响人数上限：最多约 5000 位在投放时段拉取该版本的用户。
- 不受影响主体：Anthropic 本体系统没有被入侵，官方 Claude Code 发布流程完好。
五、用户自查与清理步骤
- 检查本机是否在 10 月 29 日时段安装过 2.1.312 / 2.1.313 的 Claude Code。
- 运行 Cursor 官方提供的检测脚本，查找 authorized_keys 里标记 svc-telemetry 的公钥。
- 如果检出对应密钥，直接删除这条公钥，同时清理 macOS LaunchAgent、Windows 计划任务里对应的持久化项。
- 检查 SSH 服务是否被意外开启，不需要使用 SSH 的设备直接关闭该服务。
- 轮换本机所有 SSH 私钥、Git、云服务商、数据库相关凭证，防止攻击者已经留存访问权限。
- 确认清理完成后，再从官方渠道重装正规 Claude Code 扩展。
六、本次事件暴露的风险点
- 跨厂商合作密钥权限管控：给到合作方的密钥，读取桶内历史日志，日志里存在未脱敏密钥，形成连锁爆破。
- 缓存分发环节缺少二次校验：扩展市场缓存可以被单独替换，独立于原始发布源。
- 后门具备独立性：卸载扩展无法清除已经写入系统的 SSH 密钥和驻留任务，属于 “落地生根” 式供应链投毒。
- AI 代码编辑器受众价值高：开发者设备通常存放源代码、内部服务凭证，一旦拿下危害很大。
【常见问题】
问题 1：Cursor 披露 10 月安全事件溯源结果，Fireworks AI 密钥泄露是怎么导致 Claude Code 扩展被植入后门？
回答 1：Cursor 披露 10 月安全事件溯源结果，Fireworks AI 密钥泄露之后，攻击者拿到密钥访问只读存储桶，从历史代码会话追踪记录拿到更多凭证，进而篡改 Cursor 扩展市场缓存，投放被植入 SSH 后门的恶意 Claude Code 扩展包。
问题 2：这次 Fireworks AI 密钥泄露引发的恶意 Claude Code 后门，是不是微软 VS Code 官方市场也中招？
回答 2：这次 Fireworks AI 密钥泄露引发的恶意 Claude Code 后门只污染 Cursor 自家扩展市场缓存，微软 VS Code 官方市场、Open VSX、npm 的官方 Claude Code 包没有遭到篡改，不受本次事件影响。
问题 3：如果已经安装了被投毒的 Claude Code，单纯卸载这个扩展，能不能清除 Fireworks AI 密钥泄露事件留下的后门？
回答 3：单纯卸载扩展不能清除 Fireworks AI 密钥泄露事件留下的后门，恶意程序已经写入 SSH 公钥、开机驻留任务，卸载插件不会删掉这些系统侧配置，必须用官方脚本扫描、手动删除密钥与定时项。
问题 4：Fireworks AI 密钥泄露引发 Cursor 十月安全事件，这次恶意 Claude Code 后门主要会窃取哪些信息？
回答 4：Fireworks AI 密钥泄露引发 Cursor 十月安全事件，恶意 Claude Code 后门会收集主机名、用户名、Git 邮箱、工作目录、公网 IP、系统环境信息，并且尝试写入 SSH 公钥，为攻击者留下远程登录通道。
【参考资料】
[2026-11-13]（An update on our recent security incident）Cursor 官方博客
[2026-11-13]（Cursor 溯源十月供应链攻击：起始为 Fireworks AI 密钥泄露）36 氪
[2026-11-12]（Cursor 安全事件复盘：恶意 Claude Code 扩展投放 11 小时）至顶网
[2026-10-31]（Inside a malicious Claude Code-branded extension and its persistent SSH backdoor）微软安全博客
[2026-10-29]（Security notice — malicious version of Anthropic.claude-code）Cursor 安全公告
【免责声明】
本文基于 Cursor 官方溯源公告、厂商安全通报、第三方安全机构样本分析整理；本次 Fireworks AI 密钥泄露引发的恶意 Claude Code 后门清理步骤、IOC 指标以 Cursor 官方最新公告为准；供应链攻击的残留后门排查有较高技术门槛，企业用户建议配合终端检测、运维审计完成全盘清理；本文仅为安全事件资讯解读，不构成企业安全处置、权限策略调整的直接方案。