10月29日美西时间2:27至13:35，Cursor 扩展市场出现被篡改的 anthropic.claude-code 2.1.312 与 2.1.313 版本，攻击者冒用真实扩展ID发布恶意更新，属于典型的供应链投毒攻击。该恶意版本会向 ~/.ssh/authorized_keys 追加一把名为 svc-telemetry 的公钥实现持久化，并将主机名、用户名、Git 邮箱、公网 IP 及环境变量名等信息回传。Cursor 方面称受影响用户最多约 5,000 人，干净版本为 2.1.314。值得注意的是，升级到干净版本并不会自动清除已写入的 svc-telemetry 公钥，卸载扩展也无法删除 LaunchAgent 或计划任务等持久化项，残留内容需手动清理。macOS 与 Linux 用户可通过 grep -qs svc-telemetry ~/.ssh/authorized_keys 命令快速自查。除该事件外，五天内还发生另一起投毒：cPGuard 更新通道被盗用，约 2,950 台服务器中招；Postman 12.33.4 则被曝静默修改 Agent 配置，官方正在回撤，但已安装的插件不会自动消失。完整版本对照表、Windows 自查命令、持久化检查点与官方清理脚本用法可参阅原文。
事件分析
此次事件暴露出 AI 编程工具扩展生态的信任链条薄弱：攻击者无需攻破 Anthropic 官方仓库，只需在第三方市场冒用真实扩展ID即可完成投毒，精准利用了用户对熟悉ID的信任。后门采用 SSH 公钥持久化而非传统恶意载荷，手法隐蔽且跨重启存活，属于低成本高收益的开发机信息窃取路径。对开发者而言，环境中的 Git 邮箱、环境变量往往关联云服务凭证、内部仓库地址乃至 CI 密钥，泄露后果可能远超单机范畴。可预见的走向包括：扩展市场收紧发布审核与签名校验机制，企业对 AI 编码工具实施终端级管控，安全厂商将扩展供应链纳入常态化监测。升级后的人工持久化排查应固化为开发流程的标准动作。
核心观点：AI 编程工具越繁荣，扩展市场越成为供应链投毒新入口，升级不等于清除，信任必须落到签名校验与持久化审计上。
原文链接：V2EX 分享发现
