一个插件，为什么能变成电脑后门？
你在代码编辑器里看到一个熟悉的产品名，点下“安装”，多半不会先检查它从哪里来、由谁上传。问题在于，开发工具能接触代码、账号和密钥。一旦插件被动过手脚，它拿到的可能不只是编辑器界面，而是整台开发电脑的入口。
这正是此次 Claude Code 扩展事件值得关注的地方。Claude Code 是 Anthropic 面向软件开发的编码 Agent——不只补全几行代码，还能替用户执行更完整的编程任务。Cursor 则是基于 VS Code 生态的 AI 代码编辑器，可以从扩展市场安装第三方工具。
现有材料可以确认：一个带后门的 Claude Code VS Code 扩展曾进入 Cursor 市场。但“Anthropic 官方渠道遭攻破”或“全球开发者普遍中招”，都没有足够证据。两条最初引发讨论的帖子只有标题，本文对时间、影响范围和技术行为的描述，主要依据 Cursor、Sophos、The Hacker News 与 StepSecurity 的后续材料。
11小时，足以留下什么？
据 Cursor 披露，被篡改的 2.1.313 版本在 10 月 29 日约 09:27 至 20:35 UTC 出现在其扩展市场，影响人数上限约为 5000 人。它在市场里存活约 11 小时，随后被移除。
Cursor 的调查称，这个修改版会收集主机名、用户名、Git 邮箱和公网 IP，并尝试把攻击者的 SSH 密钥写入电脑，再建立反向隧道。SSH 后门可以理解为攻击者偷偷配了一把远程登录钥匙；反向隧道则让受害电脑主动向外建立通道，方便攻击者之后进入。
后门的实现并不高明。在绝大多数没有以管理员权限运行 Cursor 的电脑上，开启 SSH 服务这一步会失败。但“没有完整成功”不等于“没有风险”：它仍可能留下密钥和持久化文件，并把机器信息传出去。
Sophos因此特别提醒，卸载恶意扩展不会自动清除已经写入的密钥、持久化机制和隧道进程。换句话说，发现问题后只把插件删掉，类似扔掉一封可疑快递，却没有检查对方是否已经配走了门锁钥匙。
真正失守的是哪一环？
这是一种软件供应链攻击：攻击者不必逐台攻破用户电脑，只要污染插件、软件包或更新渠道，就可能借可信分发机制触达大量用户。开发工具权限较高，因此这类污染尤其危险。
但目前还不能把事件写成“Claude Code 官方供应链被攻破”。早期有人推测，木马版本通过不同扩展仓库之间的镜像同步进入 Cursor。StepSecurity 后续核查不支持这一判断：已确认 2.1.313 由 Cursor 市场提供，却没有证据显示 Open VSX 或 Microsoft VS Code Marketplace 发布过它。两个公共市场的记录都从干净的 2.1.312 直接跳到 2.1.314，最早提出 Open VSX 源头说的研究者也已撤回归因。
因此，准确的说法是：Cursor 的扩展分发环节出现了带后门版本，而它究竟如何进入市场，仍未查明。事件暴露的是跨市场分发、身份冒用和插件审核之间的缝隙。恶意扩展借用 Claude Code 和 Anthropic 的可信名称，让用户误以为安装的是官方产品；市场若无法可靠验证发布身份，再熟悉的名称也只是包装。
Cursor称，事后下架了相关版本、关闭整个市场、轮换密钥并重建服务，还联系云服务商关闭攻击服务器。据 The Hacker News 报道，Anthropic 于 10 月 30 日向 Open VSX 和 Microsoft VS Code Marketplace 发布了干净的 2.1.314 版本。
为什么这不只是一次插件事故？
AI 编码工具正在把更多操作交给 Agent，扩展市场则负责把能力送进编辑器。两者叠加后，用户对“名字看起来对不对”的信任，已经不足以支撑安全。
这次事件没有证明整个代码 Agent 供应链已经失守，却给出了一个清楚的预警：市场需要验证发布者身份，也需要检查版本来源和更新链路；用户则不能把“出现在市场里”自动等同于“来自官方”。当一个插件能读取开发环境并尝试建立远程入口时，审核失误的代价远高于普通应用商店里的一款劣质软件。
局限与未知
- 现有材料没有披露攻击者身份，也没有解释恶意版本如何进入 Cursor 市场。
- “最多约 5000 人”是 Cursor 给出的影响上限，不等于确认有 5000 台电脑成功植入后门。
- 没有证据表明 Anthropic 官方仓库、官方账号、Open VSX 或 Microsoft Marketplace 遭到入侵。