Cursor 扩展市场出现恶意 Claude Code 更新：为何卸载还不够？

一次看起来正常的扩展更新，为什么会变成电脑上的后门？Cursor 扩展市场最近发生的 Claude Code 事件，值得所有使用 AI 编程工具的人了解：问题出在特定渠道分发的安装包，而受影响版本仍显示熟悉的扩展名称与发布者标识。

Cursor 的安全通告确认，恶意构建涉及其扩展市场中的 Anthropic.claude-code 2.1.312 和2.1.313，已确认分发的平台为 Windows 与 macOS。这些构建并非 Anthropic 开发。目前没有证据表明其他官方分发渠道也受到同样影响。

把这条新闻概括成“Claude Code 全部有毒”，会误导没有接触相关渠道的用户；把它当作卸载一个插件就结束的小事，又可能漏掉已经写入系统的内容。

先分清版本、渠道和暴露时间

按 Cursor 公告，恶意扩展在太平洋时间10月29日约02:27至13:35间可获取，换算为北京时间约10月29日17:27至30日04:35。应核对的是这段时间内，从 Cursor 市场安装或更新了相关 Windows、macOS 构建的设备。

这里的“从哪里下载”与“版本号是多少”同样重要。部分早期报道曾把源头写成 Open VSX，后来修正为 Cursor 市场；某个渠道中的2.1.312被篡改，也不能推出所有同版本包都被污染。

Phorion 的原始分析留下了清楚的修订记录：10月30日更正市场归属，10月31日根据更新后的通告，把2.1.312补入受影响版本。只看最初只写2.1.313的提醒，可能漏查另一构建；只转发旧截图，也可能继续传播错误的渠道范围。

Anthropic 的扩展安装文档则说明，第三方扩展市场并非由其维护和审计；其提交扩展的渠道包括 Visual Studio Marketplace 和 Open VSX。扩展名称、市场运营者与实际分发文件，属于不同环节。核对来源时，不能把一个发布者名字当作所有下载路径的共同担保。

这次风险不需要等到用户向 Claude 提交敏感问题才出现。OpenSourceMalware 对样本的分析发现，恶意加载器被放在正常扩展代码之前；扩展模块一加载，它便可以运行，正常的编程功能随后仍可能继续工作。

这也解释了为什么“插件还能用”不是可靠的安全判断。恶意逻辑与正常界面可以同时存在，用户没有看到明显报错，并不意味着更新包与发布者真正提供的文件相同。

根据原始研究，恶意代码尝试加入攻击者控制的 SSH 密钥、建立反向连接，并设置下次启动后继续运行的机制。SSH 可以用于远程登录和管理；对普通读者来说，这里的关键是：攻击者试图在电脑里留下以后还能进入的通道，而不是只影响某一条聊天记录。

资料也给出了必须保留的边界。最初上报的主机信息包括用户名、系统、Git 邮箱、公网 IP 等；环境变量在这一步发送的是名称，不是直接把所有变量的值上传。不能据此写成“所有 API Key 已被偷走”。但若远程访问成功，攻击者可接触的范围会更广，因此也不能把侦察信息有限理解为电脑已经安全。

Cursor 表示，受权限和恶意代码自身错误影响，大多数普通 Windows、macOS 环境无法顺利启用 SSH 服务。这降低了部分远程登录路径成功的可能，却不保证前面的密钥写入、持久化或主机信息发送都没有发生。

Sophos X-Ops 的处置说明因此强调，卸载扩展不会自动清除留下的后门内容。已经出现执行迹象的设备，需要按安全通告检查密钥、启动机制和隧道进程，并评估从可信设备轮换可访问凭据。涉及公司代码和账户时，应交由相应安全团队判断处置范围。

这与“只要装过 Cursor，就把全部账户重置”并不是同一要求。判断要落在实际安装渠道、构建、时间和设备迹象上；对没有命中范围的用户，新闻本身不能代替入侵证据。

平台侧已经采取的措施，也要与终端恢复分开。Cursor 称已删除恶意包、审计访问、轮换密钥并重建市场，还与托管服务商合作关闭攻击服务器。分发停止、服务器下线能够阻断部分后续活动，却不会替每一台曾运行扩展的电脑撤销系统修改。

云安全联盟10月31日的研究说明指出，这次事件的突出问题是分发层信任：界面上能看到正确的名称与标识，收到的文件却可能未经真正发布者授权。截至核查时，攻击者如何获得这条分发路径的发布能力，仍没有完整公开说明，不能自行认定为某个员工失误或某种数字签名被破解。

AI 编程工具扩大了开发环境中的自动化能力，扩展更新也因此需要与代码依赖同样认真地管理。企业可以据官方与研究机构的建议，评估扩展允许列表、更新观察期和来源核验；但这些措施各有代价，不能承诺某一种设置可以防住所有供应链攻击。

站内此前讨论过AI 智能体拉高代码提交量之后的审查问题。这次事件补上了另一层现实：被审查的不应只有 AI 写出的代码，还有让 AI 得以进入开发者电脑的工具和更新链路。模型回答得是否准确，与安装包是否可信，需要分别验证。

本文核查于2026年11月1日，另交叉阅读了 BleepingComputer 的事件报道。后续范围与处置变更应以厂商更新后的安全通告为准。