Anthropic 的 Cursor 扩展遭供应链投毒，最多影响 5000 名开发者

导语

一款由 Anthropic 官方账号发布、面向 Cursor 用户的 VS Code 扩展，近日被发现遭到供应链投毒。恶意版本 2.1.313 在 Cursor 的扩展市场中分发了近 12 小时，潜在影响规模最多约 5000 名开发者。由于 Cursor 默认启用扩展自动更新，这起事件并不只涉及主动下载该版本的用户。

核心要点

• 受影响版本：恶意版本为 2.1.313，随后 Anthropic 发布了 2.1.314。研究人员称，恶意版本通过 Anthropic 在 Cursor 上的官方分发账号发布，并取代了此前的 2.1.312。
• 后门能力：代码会收集主机名、用户名、操作系统、架构、主目录、环境变量名称、工作目录、Git 邮箱配置和公网 IP 等信息。
• 持久化尝试：恶意程序试图将攻击者控制的 SSH 公钥写入 authorized_keys，启用本地 SSH 服务，并建立反向 SSH 隧道；同时还尝试通过 macOS LaunchAgent 或 Windows 计划任务维持运行。
• 影响范围：扩展通常以 IDE 权限执行，因此安装后可能接触本地文件、源代码和开发工具。攻击者收集环境变量名称，也可能借此快速盘点设备上潜在的云凭证和 API 令牌。
• 代码缺陷：研究机构 Phorian 指出，Windows 和 macOS 上的部分错误会使后门在某些场景下无法正常工作，但这并不意味着风险可以忽略。

处置与未解问题

Cursor 表示，工作人员已与反向连接所使用的云服务商合作，阻断受感染设备访问相关服务器，并从市场中移除恶意版本。公司还关闭 VS Code Marketplace，以轮换密钥、审计访问控制并确认其他扩展是否受到影响，之后重新开放市场。

Cursor 和 Anthropic 都没有说明攻击者究竟如何取得 Anthropic 官方账号的控制权。素材显示，Anthropic 也尚未向客户发布公开安全通知。这种信息披露缺口尤其值得关注：在开发工具拥有本地代码、凭证和终端访问权限的情况下，用户需要的不只是版本修复，还包括明确的受影响范围、调查建议和凭证轮换指导。

任何在周四美国东部时间 5:27 至 16:35 之间安装或更新该扩展的用户，都应视为可能受影响；近期安装过该扩展的用户也应谨慎检查。建议核对扩展版本、审查 SSH 密钥与持久化任务、检查异常网络连接，并在必要时轮换云凭证和 API 令牌。Cursor 与 Phorian 已公布相关入侵指标，可用于进一步取证。

这起事件再次表明，AI 编程工具的风险不仅来自模型输出，也来自扩展市场、自动更新机制和官方分发账号。对开发者而言，可信发布者标识并不能替代版本固定、更新审计和最小权限控制；对平台方而言，分发渠道的账号保护与及时透明披露同样是供应链安全的一部分。

来源：Ars Technica AI