适用对象：使用 Cursor 编辑器，并在 2026 年 10 月 29 日安装或更新了 Claude Code 扩展的人，以及管理开发者机器的团队。本文依据 Cursor 自己的安全通知，只涉及防御性检查。
事态发展中：本文将随机构发布更多信息而更新
截至 2026 年 10 月 31 日尚不清楚
- 被篡改的版本是如何以 Anthropic 的名义发布的
- 市场运营者或被冒用名称的发布者的系统是否遭到入侵
- 有多少用户安装了被篡改的版本
- 是否有任何机器通过后门被访问
Cursor 于 10 月 30 日太平洋时间 11:30 更新了通知，修订了指标并澄清了受影响的版本。它表示，任何可能安装过该扩展的人，即使影响检查结果显示干净，也应遵循其修复步骤。
Cursor 用户今天应该做什么
弄清楚您是否在 10 月 29 日安装或更新了该扩展
Cursor 给出的时间窗口是 2026 年 10 月 29 日太平洋时间约 2:27 至 13:35，换算成日本时间（JST）为 10 月 29 日 18:27 至 10 月 30 日 5:35。请在 Cursor 中打开扩展列表，检查 Claude Code 扩展的已安装版本。Cursor 列出面向 Windows 和 macOS 的 2.1.312 和 2.1.313 为被篡改的版本。如果您没有在该时间窗口内安装或更新它，Cursor 的通知并未说明您受到影响。
检查 authorized_keys 中是否有标记为 svc-telemetry 的条目
Cursor 称，该代码试图添加一个由攻击者控制、标记为 svc-telemetry 的 SSH 公钥。请打开您的 authorized_keys 文件（在 macOS 上，通常位于主目录的 .ssh 文件夹中）并查找该标记。Cursor 的通知中分别提供了 macOS 和 Windows 的命令；请从官方页面使用它们。不要运行从其他地方复制来的命令。
检查持久化机制：LaunchAgent、计划任务、启动项
据 Cursor 称，持久化机制在 macOS 上是 LaunchAgent，在 Windows 上是带有启动项备用方案的计划任务，约每 60 秒重试一次。请查看 LaunchAgents 文件夹、任务计划程序和启动文件夹中是否有您没有创建的条目。Cursor 的通知列出了可供比对的名称和文件路径。
如果有任何匹配：隔离、清除、轮换
Cursor 建议隔离有载荷执行或后门安装迹象的主机，清除未经授权的密钥、持久化条目和隧道进程，并在适当时重建主机。然后，从可信的机器上轮换受影响机器可访问的凭据并撤销会话：SSH 密钥、云和 API 令牌、Git 和包注册表令牌，以及浏览器或 SaaS 会话。Cursor 警告，有限的环境变量收集并不能排除之后的凭据访问。
关于轮换顺序和最小权限密钥，参见最小权限的 SSH 密钥。
即使检查看起来是干净的，也要执行 Cursor 的修复步骤
Cursor 为每个平台提供了脚本，并表示无论影响检查结果如何，都应遵循修复步骤。联系方式：Cursor 通知中的安全邮箱地址。
面向团队：看看您的开发者可以安装哪些扩展
确定允许使用哪些 IDE 扩展，对重要的扩展固定版本或审查更新，并尽可能让长期有效的密钥远离开发者的笔记本电脑。关于软件包中同类问题，参见 npm 供应链防御和 TanStack、Nx Console 与 GitHub 事件链。
发生了什么（依据 Cursor 的通知）
除标注为媒体报道的部分外，以下所有陈述均来自 Cursor 的安全通知，并归于 Cursor。
2026 年 10 月 29 日，太平洋时间约 2:27
据 Cursor 称，第一个被篡改的版本出现在 Cursor 扩展市场上。10 月 29 日，太平洋时间约 13:35
时间窗口结束（约 11 小时）。Cursor 移除了被篡改的版本，并阻止进一步分发。10 月 29 日
Cursor 暂时关闭了市场，审计了访问权限和其他扩展，轮换了密钥，重建了市场并使其重新上线。它正与托管服务提供商合作，使攻击者的服务器下线。10 月 30 日，太平洋时间 11:30
Cursor 更新了通知，修订了指标并澄清了受影响的版本。
已知与未知的内容
截至 2026 年 10 月 31 日的情况。随着更多信息发布，本表将被改写。
| 项目 | 所述内容 | 状态 |
|---|---|---|
| Cursor 市场上被篡改的版本 | 2.1.312 和 2.1.313，Windows 和 macOS，10 月 29 日太平洋时间约 2:27 至 13:35 | 已确认（Cursor） |
| 由谁开发 | Cursor 称并非由 Anthropic 开发 | 已确认（Cursor） |
| 行为 | 加载时运行；收集主机和用户信息；添加了攻击者的 SSH 密钥；尝试启用 SSH 并建立反向隧道；通过 LaunchAgent 或计划任务安装持久化机制；把主机详情发送给攻击者 | 已确认（Cursor） |
| 启用 SSH | 需要扩展通常不具备的管理员权限，因此在大多数主机上会失败，攻击者在这些主机上不可能通过隧道登录。该扩展确实添加了攻击者的密钥、安装了持久化机制并发送了主机详情 | 已说明（Cursor） |
| 其他扩展和官方分发渠道 | 没有证据表明它们受到影响 | 目前证据显示未受影响（Cursor） |
| 其他市场（npm、Open VSX、VS Code Marketplace） | 早期报道已被更正；Cursor 的市场是唯一的来源 | 媒体报道（BleepingComputer） |
| 用户数量 | 最多约 5000 人可能曾暴露（媒体）；在我们读到的 Cursor 通知中没有数量 | 未经证实 |
| 它是如何以 Anthropic 的名义发布的 | 未说明 | 未说明 |
| 是否有任何机器通过后门被访问 | 未说明 | 未说明 |
如何理解：被冒用的名称不一定就是被入侵的一方
Cursor 声明被篡改的版本并非由 Anthropic 开发。在我们读到的来源中，并未说明市场运营者或被冒用名称的发布者的任何系统是否遭到入侵，本文也不主张其中任何一种说法。“暴露”是指该版本可供获取，并不表示有机器被访问。
添加 SSH 公钥（svc-telemetry）
↓→
检查 authorized_keys
→ 如果发现：清除，隔离该机器
持久化机制（LaunchAgent / 计划任务 / 启动项）
↓→
查找您没有创建的条目
→ 清除；考虑重建（Cursor）
为什么市场上的假扩展很危险
编辑器扩展以您用户的权限运行，通常可以访问您的文件、Git 凭据、SSH 密钥以及终端的环境变量。因此，冒用可信名称的被篡改副本，一开始就拥有比大多数恶意软件更多的访问权限。向 authorized_keys 添加密钥，目的是让发送者日后能再次进入，这就是为什么移除扩展并不等于清理了机器。
一般而言，在安装或更新扩展之前：请核对发布者和确切的名称，对广泛使用的扩展突然出现的新版本保持谨慎，并让生产环境的凭据远离您测试新工具的环境。
参考来源
- Cursor，关于 Claude Code 扩展的安全通知（2026 年 10 月 29 日发布，10 月 30 日更新）— cursor.com
- BleepingComputer，《Cursor 上的恶意 Claude Code 扩展植入了 SSH 后门》（2026 年 10 月 30 日；标题为英文原文的译文）— bleepingcomputer.com
更新记录
2026-10-31：首次发布，依据 Cursor 的通知（10 月 30 日太平洋时间 11:30 更新）。待发布途径或用户数量得到说明后，本文将随之更新。
延伸阅读
- 凭据与 SSH：最小权限的 SSH 密钥 / 多重身份验证
- 类似的供应链事件：TanStack、Nx Console 与 GitHub / npm 供应链防御
- 2026 年的全部事件：2026 年安全事件