Cursor官方插件商城现恶意Claude Code扩展，约5000名开发者受波及

2026年10月29日，AI编程工具Cursor的官方插件商城Cursor Marketplace上线了一款被篡改的Claude Code扩展，版本号为2.1.313。该恶意版本在北京时间当日17:27至次日凌晨4:35之间持续分发约11小时，据估计最多有5000名全球开发者下载了这一被污染的插件。Cursor Marketplace是Cursor为其AI Agent接入外部工具、数据源和工作流而设立的官方插件市场。

安全研究人员分析发现，攻击者采取了较为隐蔽的手法——并未改动原有合法功能代码，而是在扩展的extension.js文件开头插入了一段恶意JavaScript加载器。这意味着插件表面上仍能正常运行，开发者难以通过功能异常察觉问题。恶意代码在安装后会立即自动执行，整个过程无需与Claude Code进行任何交互。

恶意程序运行后，会系统性地收集受害者设备上的敏感信息，包括用户名、主机名、公网IP地址、Git邮箱以及与敏感凭据相关的环境变量名称，并将这些数据回传至攻击者控制的服务器。与此同时，恶意代码还会尝试向设备写入攻击者控制的SSH密钥，启用SSH访问并建立反向隧道，通过macOS LaunchAgent或Windows计划任务、启动脚本实现持久化，约每分钟重试一次连接。

值得注意的是，由于恶意代码在SSH配置环节存在明显的技术错误，实际造成的危害可能有所限制。在macOS上，恶意程序未以管理员权限执行关键检查命令；在Windows上，则错误地调用了Unix shell路径/bin/sh。这些低级失误导致许多Windows和macOS设备可能并未被成功开启远程访问，一定程度上降低了此次攻击的实际影响范围。

Cursor在确认事件后迅速采取应对措施：下架恶意扩展，临时关闭整个扩展市场以审查其他插件并轮换访问密钥，同时协同托管服务商关闭攻击者服务器，切断了反向SSH连接与数据回传通道。Cursor表示，目前未发现其他扩展版本或官方分发渠道受到影响。不过，该公司尚未披露攻击者究竟如何以Anthropic名义在官方市场发布被篡改的软件包，这一关键问题仍有待调查。

要点

• 被篡改的Claude Code 2.1.313版本在Cursor官方插件商城上架约11小时，最多波及5000名开发者，恶意代码以隐蔽方式插入合法扩展文件开头。
• 恶意程序会自动收集用户名、主机名、公网IP、Git邮箱及敏感环境变量，并尝试植入SSH后门实现持久化远程访问。
• 由于SSH配置存在技术错误，macOS和Windows设备实际被成功入侵的比例可能低于预期，一定程度上限制了攻击影响。
• Cursor已下架恶意扩展并临时关闭整个插件市场进行安全审查，但攻击者如何以Anthropic名义发布被篡改包的方式尚未公开。