微软威胁情报披露，Cursor 扩展市场曾短暂上架两个篡改的 Claude Code 扩展版本，恶意代码尝试写入 SSH 公钥、启动本地 SSH 服务并建立反向隧道。Cursor 和微软均已下架相关包并协助关闭攻击服务器，但卸载扩展未必能清除已写入的密钥与持久化痕迹，需按主机证据进一步核查与清理。
微软威胁情报团队披露，Cursor 扩展市场曾短暂提供两个遭篡改的 Claude Code 扩展版本。恶意代码试图为受影响设备配置 SSH 远程访问，并在扩展目录之外写入持久化文件。Cursor 表示，已下架相关版本并协调托管服务商关闭攻击服务器；但卸载扩展本身未必能清除已经写入系统的密钥和启动项。
事件发生在 2026 年 10 月 29 日。Cursor 称，恶意版本在其 VS Code 扩展市场上架约从太平洋时间凌晨 2 时 27 分持续至下午 1 时 35 分，涉及 Windows 和 macOS 上的 Anthropic.claude-code 2.1.312 与 2.1.313。微软于 10 月 31 日发布分析，拆解了恶意代码的执行顺序。事件发生时间与分析公开时间不同，不应将这起攻击写成 10 月 31 日当天发生。
两份公告对攻击链的描述互相补充，但也提示了一个重要边界：代码具备某种能力，或尝试执行某项操作，并不等于所有受影响设备上该操作都成功。
恶意代码试图建立 SSH 访问
微软分析称，注入的 JavaScript 会在扩展正常初始化之前运行。它收集主机名、用户名、操作系统、架构、主目录和 Git 配置等信息，随后尝试将攻击者控制的公钥写入 SSH 的 authorized_keys，开启本地 SSH 服务，并建立反向 SSH 隧道。代码还试图通过平台相关的脚本和启动配置维持隧道连接。
Cursor 对其公告中的权限条件作了更具体的说明：恶意扩展通常没有开启本地 SSH 服务所需的管理员权限；在大多数 Windows 和 macOS 主机上，这一步会失败，反向隧道也就无法据此实现登录。微软同样指出，远程访问是否成功取决于主机权限、SSH 配置和攻击者服务器等条件。因而，不能仅凭恶意代码的存在就断言每台安装过相关版本的设备都已被远程控制。
另一方面，远程隧道受阻并不意味着没有其他残留风险。Cursor 称，恶意扩展还会尝试添加 SSH 公钥、安装持久化机制并发送主机信息；部分脚本被写入扩展目录之外，可能在扩展被卸载后继续存在。Cursor 因此建议，对符合受影响时间和版本条件的设备继续检查终端、网络和扩展安装记录，而不是只看扩展是否仍在列表中。
收集了哪些信息，不能据此推断什么
微软分析称，恶意代码会筛选环境变量名称中含有 KEY、TOKEN、SECRET、PASS、AWS 或 GCP 等字样的项目，最多记录 40 个匹配项。这里需要区分变量名称与变量值：微软描述的是收集匹配的名称，不能据此说这些环境变量中保存的密钥或密码已被窃取。
Cursor 则在公告中列出其观察到的主机与用户信息收集行为，包括主机名、用户名、操作系统、架构、主目录、工作目录、Git 邮箱、环境变量名称和公网 IP。Cursor 还表示，攻击服务器已由托管服务商协助下线，相关隧道连接和主机信息传输已不再可用。这是 Cursor 对处置结果的说明，并不替代对个别终端是否执行过恶意代码的调查。
影响范围指向 Cursor 市场中的特定版本
两家公司均将事件范围限定在 Cursor 扩展市场上出现的特定恶意包。微软表示，其确认这些包没有通过 Microsoft Visual Studio Marketplace 或 npm 上的官方 Claude Code 包分发；微软还称，Anthropic 向其确认自身系统未遭入侵，也没有开发 Cursor 市场中的恶意包。Cursor 也表示，目前没有证据显示其他扩展或该扩展的其他版本受到影响。
因此，这不是 Anthropic 官方发布渠道整体失陷的证据，也不能泛化为所有从 Cursor 市场下载的扩展都受到影响。已知范围是特定市场、特定版本和有限时间段内提供的包。两家公司公布的时间窗口以太平洋时间为准。
Cursor 称，在发现问题后移除了恶意版本、暂停市场并审计其他扩展，随后轮换相关密钥、重建市场并恢复服务。它还公布了用于识别和清理相关痕迹的步骤与指标。微软则提供了对恶意加载器的技术分析和组织侧排查建议。本文未执行公告中的检查或修复命令；设备处置应依据官方公告，并由具备权限的安全人员结合本地情况进行。
卸载不一定等于清理
这起事件凸显了扩展市场与本地开发环境之间的信任边界：扩展不仅能在编辑器中提供功能，也可能以当前用户的权限运行代码并接触本机文件、配置和网络。安装来源看似熟悉，并不能单独证明某个具体版本未被篡改。
对于在相关时段从 Cursor 扩展市场安装或更新到 2.1.312、2.1.313 的用户，Cursor 建议保留调查所需证据，检查终端与网络活动，移除确认存在的未授权密钥、持久化机制和隧道进程；若调查显示凭证可能暴露，再从可信设备轮换凭证或撤销会话。是否需要隔离或重建设备，应由调查结果决定，而非仅凭版本号推定已经发生入侵。
目前公开材料没有提供受影响设备数量，也没有证明每个安装实例都成功建立了远程访问。更准确的结论是：特定扩展包曾在有限时段内携带可尝试建立 SSH 后门的代码，相关方已采取市场和服务器层面的处置，但本地设备是否留有痕迹，仍需按主机证据核查。