AI 程式碼編輯器業者 Cursor 日前披露，一個遭竄改的 Claude Code 擴充套件（extension）2.1.313 版，於 10 月 29 日在其擴充功能市集上架約 11 小時，企圖在開發者電腦植入持久性 SSH後門，最多 5,000 名使用者受影響。該版本以 AI 公司 Anthropic 的官方識別碼 anthropic.claude-code 發布。Cursor 表示並非 Anthropic 所開發，Anthropic 則指出事件未涉及其系統遭入侵。
遭竄改版本上架約 11 小時
Cursor 指出，該版本於太平洋時間 10 月 29 日凌晨 2 時 27 分至下午 1 時 35 分提供下載。Cursor 隨後暫時關閉市集，移除惡意版本、輪替金鑰並重建市集，確認其他擴充套件未遭竄改，也與雲端業者合作將攻擊者伺服器下線，使反向通道（reverse tunnel）失效。Cursor 後續修訂通告，受影響版本包含 2.1.312 與 2.1.313，適用於 Windows 與 macOS。
載入即執行，建立後門並回傳主機資訊
資安研究單位 OpenSourceMalware 共同創辦人 Jenn Gile 指出，該套件的主要 JavaScript 檔在正常程式碼前被插入 66 行惡意載入器（loader）。macOS 資安業者 Phorion 執行長 Calum Hall 表示，載入器在 Node 載入檔案時即執行，使用者無須任何操作。
惡意程式會把標註為 svc-telemetry 的攻擊者金鑰寫入
~/.ssh/authorized_keys，嘗試開啟 SSH 連線並建立通往 134.209.82[.]225 的反向通道，同時在 Windows、Linux 與 macOS 分別以排程工作（scheduled task）、crontab 與 LaunchAgent 建立持久化機制。它也透過未加密的 HTTP 回傳公開 IP 位址、主機名稱、使用者名稱、作業系統、Git 電子郵件，以及最多 40 個含「KEY」「TOKEN」等字樣的環境變數名稱，初始回報不含變數值。
Cursor 表示，開啟本機 SSH 需要管理員權限，多數 macOS 與 Windows 主機上該步驟會失敗，攻擊者無法經通道登入，但金鑰寫入、持久化與資料回傳仍會發生。
發布者身分為真，驗證名稱已不足夠
這起供應鏈攻擊之所以難以察覺，在於惡意版本使用的是官方識別碼，而非另立的假擴充套件。Gile 指出，設定為自動更新的 Claude Code 都可能已取得惡意版本。Manifold Security 研究主管 Ax Sharma 則說：「檢查發布者名稱，在發布者是真的時候沒有用。」他認為應監看行為，程式碼擴充套件寫入 SSH 金鑰，應在數秒內被攔下。
Anthropic 資安工程師 David Dworken 表示，VS Code 與 OpenVSX 等官方通路版本不受影響，僅 Cursor 使用者受波及。Anthropic 工程經理 Felix Rieseberg 補充，事件未涉及 Anthropic 系統或員工筆電遭入侵。微軟表示，該版本未曾透過 Visual Studio Marketplace 或 npm 的 anthropic-ai/claude-code 套件發布。軟體供應鏈資安業者 Socket 也未發現 2.1.313 公開於 Open VSX。
早期報導曾指該版本出現在 Open VSX，後續已追溯為 Cursor 市集遭入侵。至於攻擊者如何以 Anthropic 名義在 Cursor 市集上架、取得何種權限，目前仍未釐清。
處置建議
微軟建議受影響單位採取下列作法：
- 盤點從 Cursor 市集安裝或自動更新至 2.1.312、2.1.313 的主機，保全證據並隔離，檢視端點遙測。
- 檢查 authorized_keys 有無 svc-telemetry 金鑰，並單獨移除未授權金鑰、通道身分、指令碼與啟動項目，因為解除安裝或更新擴充套件不會清除這些。
- 在可信任系統上輪替憑證並撤銷工作階段。
本文參考 The Hacker News、Help Net Security 等外媒報導編譯。