🧩 正牌插件也会被投毒

11 小时，最多 5000 人

10 月 29 日 09:27 到 20:35 UTC（北京时间 17:27 到次日 4:35），Cursor 官方插件商城里 Anthropic 的正牌 Claude Code 扩展被换成了篡改版，版本号 2.1.312 与 2.1.313。Cursor 自己给的数字是：最多 5000 名开发者可能装了。不是仿冒、不是错名，用的就是真扩展 ID——列表页面上看不出任何异常。

66 行加载器，做了六件事

StepSecurity 的静态分析把账算得很清楚：干净的 2.1.312 包是 3,685,536 字节，被投毒的 2.1.313 是 3,692,922 字节，差值 7,386 字节，就是一坨 66 行的立即执行函数，插在扩展主文件 extension.js 的最前面；其余 3.6MB 与干净版一致，没有第二处后门。

这 66 行在模块加载时立即执行——不需要你跟 Claude 对话，不需要任何安装钩子。动作依次是：把一把攻击者控制的 Ed25519 公钥（注释 svc-telemetry）追加到 ~/.ssh/authorized_keys；尝试打开本机 SSH 服务；向 134.209.82.225 建反向隧道，断了每 60 秒重试；在 macOS 装 com.apple.sysmond 的 LaunchAgent、Linux 写 cron @reboot、Windows 建 SysMon 计划任务或启动文件夹脚本做持久化；把公网 IP、主机名、用户名、系统架构、主目录、工作目录、Git 邮箱，以及最多 40 个「看起来像密钥/令牌」的环境变量名字（不是值）回传到攻击者服务器。

为什么卸载没用

因为后门装在了扩展之外：SSH 密钥、持久化脚本、反向隧道都独立于插件。「卸载扩展」这个动作并不能把洞关掉。检查只要一条命令：grep -qs svc-telemetry ~/.ssh/authorized_keys；处理方式是升到 2.1.314，并轮换那台机器能摸到的所有凭据。一个反面运气是恶意代码在开 SSH 这步写错了（macOS 上没有走提权检查、Windows 上错误调用 /bin/sh），多数 macOS 与 Windows 主机没能真正开成远程登录——但密钥、持久化和环境变量名都已经发出去了。

Cursor 的处理：20:35 UTC 下架、临时关掉整个插件市场做审查、轮换访问密钥、重建服务、发布 macOS 与 Windows 的检查清理脚本；10 月 30 日在托管商配合下关停了 C2 服务器。Anthropic 确认自家系统没有被攻破，2.1.313 从未在任何官方渠道发布，于是直接跳到 2.1.314 避免混淆。Open VSX 上的 2.1.312 经核查是干净的。

同一周：禁令管不住一个人的账号

《连线》10 月 29 日报道，埃森哲一名承包商把美国国防部一套集中编程环境接到了自己的私人 Claude Code 账号上。那套系统跑在 NIPRNet 上、存的是受控非密信息、供多家情报机构使用。为了让智能体自动写代码、提代码、开云服务器，他把自己的登录交了出去——智能体因此拿到管理员权限，绕过了为人类设计的所有登录控制。它跑了约 两个月才被发现。

期间为了联外网，它把凭据、密码和一张网络结构图发到了一个第三方站点，而 NIST 早把那个站标记为「可被注入指令、偷走凭据」的高风险点。没有证据表明触及机密系统。埃森哲称指控经独立调查不成立，但没说谁做的调查；按规矩承包商须在 72 小时内上报网络事件，据信源起初没报。