AI 代码编辑器 Cursor 在当地时间 11 月 13 日正式放出这起恶意扩展事件完整调查结论，这次出事的是伪装成 Anthropic 官方产品、版本号 2.1.312 / 2.1.313 的篡改版 Claude Code，它在 Cursor 内置扩展市场公开上架大约 11 小时；官方最终核定，最多波及 5000 位开发者，并且已经主动单独联系全部确认受到影响的用户；调查同时厘清了数据泄露边界，隐私模式下用户提示词、代码不会外泄，即便没有开启隐私模式，出现智能体链路追踪数据泄露的用户占比不足 0.05%，没有收到通知的用户就代表不在这批泄露名单里面；恶意扩展本身会在编辑器加载时自动运行，收集主机、Git、环境变量信息，尝试植入 SSH 持久化后门，不过因为恶意代码本身存在 bug，大部分设备没能成功打通远程隧道，下面把事件时间线、恶意载荷、处置动作、风险排查要点完整拆解。
一、事件基础信息对照表
| 项目 | 详情 |
|---|---|
| 涉事平台 | Cursor IDE 内置扩展市场（Cursor Marketplace） |
| 恶意包标识 | Anthropic.claude-code，版本 2.1.312、2.1.313 |
| 上架时段 | 太平洋时间 10 月 29 日 02:27–13:35，合计约 11 小时 |
| 官方影响上限 | 最多 5000 名用户下载安装 |
| 调查完成公告时间 | 当地时间 11 月 13 日 |
| 开发者归属 | 恶意包不是 Anthropic 官方发布 |
| 恶意行为 | 采集主机信息、Git 邮箱、环境变量，写入攻击者 SSH 公钥，尝试反向隧道持久化 |
| 后门成功率 | 多数 Windows、macOS 设备上 SSH 远程访问执行失败 |
| 数据泄露边界 | 隐私模式：代码、提示词安全；非隐私模式链路追踪泄露＜0.05% |
| 应急动作 | 下架恶意包、临时关停扩展市场全量审计、轮换密钥、关停攻击者服务器 |
二、恶意扩展的攻击逻辑
攻击者没有重写 Claude Code 的原有业务代码，只在文件头部插入一段 66 行的 JS 加载器，扩展看起来功能完全正常，迷惑性很强。
只要用户打开 Cursor、加载这个扩展，恶意脚本就自动启动，不需要用户手动唤起 Claude 对话。
采集清单包含主机名、用户名、公网 IP、操作系统架构、项目目录、Git 邮箱、各类环境变量名称，回传到攻击者服务器。
之后尝试把攻击者控制的 SSH 密钥写入 authorized_keys，并通过 macOS LaunchAgent、Windows 计划任务做持久化，每分钟重试连接。
代码存在明显缺陷：macOS 没有申请管理员权限，Windows 错误调用 Unix shell，所以绝大多数机器没法真正打开远程通道，但 SSH 密钥和持久化痕迹依然会留在本地。
三、完整事件时间线
第一步，篡改版本的 Claude Code 扩展在 Cursor 扩展市场上线，使用官方包名和标识。
第二步，平台监测异常，快速下架恶意安装包，临时关闭整个扩展商城，防止继续分发。
第三步，安全团队、外部安全厂商同步分析恶意样本，梳理 IOC、清理指引，同时联动服务商打掉攻击者的回传服务器。
第四步，两周时间内回溯下载日志、访问日志，区分单纯下载、实际加载运行、产生数据外泄的用户。
第五步，发布最终调查报告，划定最多 5000 用户的影响上限，定向通知确认存在数据泄露的用户。
第六步，对外说明后续安全改进计划，强化扩展上架审核、发布签名、权限校验机制。
四、用户自查与处置步骤
- 核对安装记录：检查是否在 10 月 29 日安装或自动更新到 2.1.312 / 2.1.313 版本的 Claude Code。
- 检查 SSH 信任密钥：打开 ~/.ssh/authorized_keys，删掉陌生、来源不明的公钥条目。
- 清理持久化项：检查 macOS LaunchAgent、Windows 任务计划里陌生启动脚本。
- 轮换凭据：Git 账号、云服务密钥、服务器 SSH 密钥建议全部重新生成。
- 升级版本：切换到官方干净版本 2.1.314，不要继续保留涉事版本。
- 等待官方邮件：没有收到 Cursor 单独通知，说明不在链路追踪泄露范围内。
五、调查澄清的关键误区
- 不是所有 5000 人都发生了代码泄露：5000 是下载上限，真正出现链路追踪外泄的比例极低。
- 隐私模式具备隔离效果：开启隐私模式时，用户的代码、对话提示词不会被该恶意模块带出。
- 不代表 Anthropic 系统被攻破：调查确认污染发生在 Cursor 的扩展分发链路，Claude Code 本体源码仓库没有被篡改。
- 只针对这一个包：官方核查之后，没有证据说明市场里其余扩展同步遭到投毒。
六、事件带来的行业影响
对于 Cursor，这次事件会拉高它面向企业客户的安全门槛，AI 编码工具的扩展供应链审核、签名校验、发布溯源机制会成为客户重点审查项。
对于所有 AI IDE，证明 “官方市场” 不等于绝对安全，供应链投毒可以借知名 AI 插件的信任快速扩散，开发者需要建立 “插件也要审计” 的习惯。
对于开发者群体，大家会更加重视开发机的 SSH 信任链、环境密钥隔离，很多团队会把开发环境和生产服务器的权限做更强隔离，防止单点被突破横向移动。
七、总结
Cursor 在两周调查之后发布完整结论，这次混入官方市场的恶意 Claude Code 扩展，上线约 11 小时，最多影响 5000 名开发者；恶意代码会自动采集本地信息、植入 SSH 后门，但代码缺陷让大部分远程接入尝试失败；同时官方明确数据泄露边界，隐私模式可以保护代码与提示词，极少数非隐私用户存在链路追踪外泄并且已经单独通知；事件暴露 AI 编程编辑器扩展供应链的风险，Cursor 已经完成下架、审计、密钥轮换，同时推动扩展上架审核流程升级。
【常见问题】
问题 1：Cursor 披露安全事件调查结果，恶意 Claude Code 扩展最多波及 5000 用户，这 5000 人全部都有代码泄露吗？
回答 1：不是，Cursor 披露安全事件调查结果里提到，恶意 Claude Code 扩展最多波及 5000 用户，这是下载安装人数上限；真正出现编程智能体链路追踪数据泄露的用户占比不到 0.05%，并且官方单独通知这批用户，没有收到通知就代表不在泄露名单内。
问题 2：这次 Cursor 的恶意 Claude Code 扩展，是不是 Anthropic 官方的安装包遭到篡改？
回答 2：不是，Cursor 调查结果确认，这个恶意 Claude Code 扩展并不是 Anthropic 发布的，污染发生在 Cursor 的扩展分发链路，Claude Code 本身的源码仓库没有被攻破。
问题 3：安装了这个恶意 Claude Code 扩展，开启 Cursor 隐私模式能不能保护代码和提示词？
回答 3：可以，Cursor 本次安全事件调查结果写明，如果用户开启隐私模式，恶意 Claude Code 扩展不会带走提示词与代码内容，隐私模式对这类数据具备隔离保护效果。
问题 4：恶意 Claude Code 扩展尝试植入 SSH 后门，是不是所有中招设备都会被攻击者远程控制？
回答 4：不一定，恶意 Claude Code 扩展虽然写入 SSH 密钥、添加持久化任务，但是恶意代码本身存在程序错误，在大部分 Windows 和 macOS 设备上，启用 SSH、打通反向隧道的动作执行失败，远程访问很难成功建立。
【参考资料】
[2026-11-14]（Cursor 披露安全事件调查结果，恶意 Claude Code 扩展最多波及 5000 用户）IT 之家
[2026-11-13]（Security notice update: final investigation for malicious Claude Code extension）Cursor Official Blog
[2026-10-30]（Official Claude Code Extension on Cursor Marketplace Trojanized with Persistent SSH Backdoor）The Hacker News
[2026-10-31]（Inside a malicious Claude Code-branded Cursor extension and its persistent SSH backdoor）Microsoft Security Blog
[2026-11-14]（Cursor 公布恶意 Claude Code 扩展调查结论，划定数据泄露范围）新浪科技
【免责声明】
Cursor 恶意 Claude Code 扩展安全事件相关结论、人数上限、泄露比例来自 Cursor 官方更新公告以及多家安全媒体报道；“最多 5000 用户” 为下载人数上限，不等于全部成功执行恶意载荷；后门执行失败为样本分析结论，仍建议安装过该版本的开发者完成 SSH 密钥、凭据自查轮换；本文仅为安全事件资讯梳理，不构成企业开发环境安全方案或者应急响应的专业指导。