Cursor 市场里那个“Claude Code”不是官方的：2.1.313 植入 SSH 后门，最多 5000 人中招

用 Cursor 的人今天要先做一件事：看看自己装的 Claude Code 扩展是不是 2.1.313。这个版本不是 Anthropic 官方做的，是被人动过手脚后放进 Cursor 扩展市场的，10 月 29 日在店里挂了约 11 个小时，Cursor 自己估计最多影响 5000 名用户。

它干的事不绕弯子。研究机构 OpenSourceMalware 的分析说，恶意代码插在扩展正常代码前面，编辑器一加载就执行，不用你跟 Claude 说一句话。它会收集主机名、用户名、操作系统、公网 IP、Git 邮箱配置这类机器信息，再往你的 SSH 授权文件里偷加攻击者的公钥，尝试开本地 SSH 服务、建反向隧道，还会用开机自启任务每隔约一分钟重连一次。换句话说，它要的不是你某次对话的内容，是这台开发机以后进出的门。

好消息是门没那么容易完全打开。Cursor 说，开本地 SSH 服务需要管理员权限，恶意扩展在大多数 Mac 和 Windows 机器上没有这个权限，所以远程登录那一步通常会失败。Cursor 已经下架该版本、一度关闭整个扩展市场做排查、重建后恢复，并配合云厂商关停攻击者服务器。坏消息是“失败”不等于“没事”：信息收集那一步不需要管理员权限，授权文件里一旦被塞了钥匙，就是一颗留着的钉子。

所以自查要按顺序做，不用慌，也别只点一下更新就完事。先把扩展升到 2.1.314；再检查 SSH 授权文件里有没有 svc-telemetry 这个条目，有就按 Cursor 公布的清理方案清掉；最后想一想，这台机器上还有没有别的来路不明的扩展在常驻运行。这次事件里还有一个容易传歪的点要说清：研究者 Socket 核查后指出，在微软 VS Code 官方市场、npm、Open VSX 里没有找到 2.1.313 的发布记录，官方渠道的 Claude Code 不受这次事件影响。锅在 Cursor 自己的市场审核，不在 Anthropic 的官方分发，别把两个渠道混成一件事。

我的判断：开发者对扩展的信任一直建立在“商店替我验过”上，这次证明商店也会漏网。以后装任何能跑代码、能读文件的扩展，都该默认它有你给它的全部权限：装之前看发布者是不是官方、装之后定期清掉不用的扩展、装了 SSH 相关能力的更要单独检查。什么情况下这个结论不成立：如果你的机器从没装过 Cursor 市场的 2.1.313，或者你只用官方 VS Code 市场，那这次事件跟你无关，不用跟着恐慌。