Cursor 官方於二零二六年十月二十九日發出安全通告，指其 VS Code 擴充套件市集一度上架遭竄改的 Anthropic.claude-code 2.1.313；該版本並非 Anthropic 開發，估計最多約五千名用戶受影響。惡意程式會蒐集主機與用戶資訊、寫入攻擊者 SSH 公鑰，並企圖建立反向 SSH 隧道與持久化機制；官方已下架、短暫關閉市集、輪換金鑰並聯同雲端供應商關閉攻擊伺服器。本文核對自 Cursor 官方安全通告，來源真實性已驗證。
Cursor／官方：市集出現惡意 Anthropic.claude-code 2.1.313——最多約五千用戶受影響；企圖植入 SSH 後門
Cursor 於二零二六年十月二十九日以公司部落格形式發布安全通告，說明當日太平洋時間約凌晨二時二十七分至下午一時三十五分，其 VS Code 擴充套件市集曾提供遭惡意修改的 Anthropic Claude Code 擴充套件 2.1.313。官方強調該惡意版本並非 Anthropic 開發，估計最多約五千名用戶受影響，並會直接聯絡相關用戶。來源真實性已驗證。
一、事件概要與時間線
技術細節
通告列明攻擊窗口僅限上述時段、且僅針對 Cursor 市集上的該特定版本。惡意擴充套件會執行下列動作：蒐集主機名稱、用戶名、作業系統與架構、家目錄路徑、環境變數名稱、工作目錄、已設定的 Git 電郵，以及公網 IP；嘗試把攻擊者控制的 SSH 公鑰（註解標示為 svc-telemetry）寫入 authorized_keys，啟用本機 SSH 服務並開啟反向 SSH 隧道；再以 macOS LaunchAgent 或 Windows 排程工作（名稱 SysMon，並企圖以 SYSTEM 權限執行，另有 Startup 指令碼後備）維持隧道，背景約每六十秒重試；同時以 HTTP POST 向攻擊端埠 8099 的／beacon 回報主機細節與後門狀態。
官方指出，在 Cursor 並未以系統管理員權限啟動的常見情況下，因惡意程式本身錯誤，啟用本機 SSH 服務並完成隧道登入這一步往往會失敗；惟擴充套件仍可能寫入攻擊者公鑰、安裝持久化元件，並把主機資訊送到攻擊端。Cursor 已與承載攻擊伺服器的雲端供應商合作將其下線，通告稱反向 shell 與主機回報目前已無法運作。官方亦表示，未發現其他版本或 Anthropic 官方發行管道受影響。
應對方面，Cursor 在偵測後立即自市集移除惡意版本並阻止再分發，隨後出於謹慎短暫全面關閉 VS Code 市集；審計確認沒有其他擴充套件被篡改後，輪換金鑰、重建市集並恢復上線。
二、技術原理與供應鏈含義
這次事件屬於「開發者工具市集／擴充套件供應鏈」攻擊：受害者並非直接下載來路不明的安裝檔，而是在信任的 IDE 市集更新看似官方品牌的 Claude Code 套件時中招。攻擊鏈把「擴充套件執行權」轉化為本機持久化與遠端控制嘗試，並以蒐集環境資訊降低後續橫向移動的摸索成本。
對企業開發環境而言，重點不在單一 CVE 編號，而在於：市集簽章與發行管道是否可被冒充或竄改、端點能否偵測異常 SSH 金鑰與排程／LaunchAgent、以及僅卸載擴充套件是否足夠——通告明確提醒，惡意載荷會留下獨立持久化指令碼，卸載擴充套件未必清乾淨，必要時應評估重裝主機，並在可信系統上輪換曾從受影響機器可觸達的憑證與工作階段。
三、日常應用場景
1. 開發者與技術團隊
若曾於二零二六年十月二十九日太平洋時間約凌晨二時二十七分至下午一時三十五分，從 Cursor 的 VS Code 擴充套件市集安裝或更新至 Anthropic.claude-code 2.1.313，應按通告以搜尋 svc-telemetry 金鑰註解等方式自查；一旦命中，隔離主機、執行官方提供的 macOS／Windows 清理指令碼，並輪換憑證。即使自查未中，亦宜核對市集來源與套件雜湊，避免繼續使用不明建置。
2. 企業與隱私敏感行業
把「IDE 擴充套件市集」納入軟件供應鏈與端點監控：限制自動更新來源、對開發者工作站啟用 SSH authorized_keys／排程工作／LaunchAgent 變更告警，並以最小權限運行編輯器。金融、法律、醫療及承接客戶原始碼的外判團隊，應假設受影響主機曾暴露倉庫令牌與雲端憑證，按事件應變流程輪換密鑰。
3. 一般用戶
個人開發者應只從官方通告所列管道核對版本，勿手動安裝來路不明的 VSIX；啟用系統更新與端點防護，並為重要帳戶使用硬體金鑰或通行密鑰，降低一旦主機失陷後的帳戶接管風險。
4. 香港與亞洲市場視角
香港不少初創與外判團隊以 Cursor 搭配 Claude／其他代理式編程工具加快交付。此事件說明「AI 編程助手」本身亦是供應鏈節點：除模型與提示注入外，市集發行完整性與本機持久化監控同樣關鍵。企業宜在私有開發環境基線中加入擴充套件允許清單、SSH 金鑰稽核，以及與雲端／端點資安告警的聯動。
四、專業評價與潛在考量
優勢
Cursor 以公開通告交代窗口、影響上限、行為摘要、應變步驟與妥協指標（含平台雜湊與網路指標），並提供清理指令碼與 [email protected] 聯絡渠道，有助企業在短時間內完成排查。攻擊伺服器已下線，降低持續外連風險。
需要留意的地方
「最多約五千用戶」為官方估計上限，實際是否建立成功隧道視本機權限與惡意程式錯誤而定，但不能以「隧道多半失敗」省略金鑰與持久化清理。通告亦提醒：環境變數蒐集範圍有限，並不排除攻擊者其後經後門取得更多憑證。企業仍須把市集短暫關閉與金鑰輪換視為供應鏈事故訊號，檢視自身對第三方市集的依賴假設。
結語
惡意擴充套件借道開發者市集，把 AI 編程工具的信任邊界直接推到本機 SSH 與持久化層。對香港企業若要加固開發者端點、雲端憑證與供應鏈監控，可參考 YSK Limited 的雲端遷移與網絡安全（https://ysk.hk/services/cloud-security）。
參考來源
- Cursor／官方：Security notice — malicious version of Anthropic.claude-code (2.1.313) identified in the Cursor Extension Marketplace（2026-10-29）https://cursor.com/blog/claude-code-extension-security-notice
- 發現來源：Cursor Blog newsroom https://cursor.com/blog