AI coding · 一个冒名的 Claude Code，潜了 11 个小时
先给一个能握住的尺度。11 个小时，够一个中国开发者写完一天代码、提交、下班睡觉。这段时间里，Cursor 插件市场上挂着一个假货：名字叫 Claude Code，图标是 Anthropic 的，装上之后在你机器上开 SSH 后门。受影响开发者最多 5000 人。【直引：BleepingComputer、Micros…
先给一个能握住的尺度。11 个小时，够一个中国开发者写完一天代码、提交、下班睡觉。这段时间里，Cursor 插件市场上挂着一个假货：名字叫 Claude Code，图标是 Anthropic 的，装上之后在你机器上开 SSH 后门。受影响开发者最多 5000 人。【直引：BleepingComputer、Microsoft 与 Anthropic 确认信息，10-29 至 10-31】
事情本身
10 月 29 日，安全研究人员发现 Cursor 自家插件市场上出现一份被篡改的 Claude Code 扩展。它在市场上存活了大约 11 小时，期间尝试安装 SSH 后门并收集主机信息。处理动作有三步：Cursor 临时关闭了整个插件市场；通知所有客户升级到 Claude Code 2.1.314；Microsoft 与 Anthropic 先后确认，npm 和官方 VS Code Marketplace 均未受影响，污染范围只有 Cursor 的市场。【直引：各方声明】
排查方法已经公开：检查本机是否出现一个名为 svc-telemetry 的 SSH key。有它，就是中了。
为什么偏偏是 Cursor
Cursor 用的插件市场与 VS Code 官方市场不同源。VS Code 的扩展市场是微软运营的封闭目录，Cursor 这类分叉版本出于许可条款限制，维护着自己的市场副本，再从公开渠道同步扩展。同步链路就是软肋：攻击者不需要攻破 Anthropic 或微软，只需要让一份冒名包进入 Cursor 的同步目录。【推论：基于 Cursor 市场架构的公开描述】
一年前，Wiz 扫描发现 500 多个 VS Code 扩展存在发布者凭证泄露，当时给出的警告是：偷到一个发布者 token，就能向整个安装基推送恶意更新。10 月 29 日这次，兑现方式比预言更直接——伪造发布者身份本身，把 Anthropic 的名字挂上去。npm 与官方市场守住了，分叉市场没守住。【直引：Wiz 报告与 AI News Brief 10-31 复盘】
名字信任是 AI coding 工具链的通行证。开发者装 Claude Code、装 Codex、装各种 MCP 插件时，核对的是名字与图标，验证签名与哈希的人极少。这次事故里，恶意包的完整攻击链（上架、后门、回传）全部发生在"信任名字"这个环节的眼皮底下。【判断】
同一周的另外两件事
单看这一起是孤立事故，放回同一周就是一张行业体检表。
其一，10 月 27 日，Brotli 解码器的越界写入漏洞（CVE-2026-111497，社区称 Node2Shell）进入 CISA 已被利用漏洞列表，公开概念验证代码在流传。其二，Wiz 在 10 月 29 日发布对三起真实 AI agent 入侵的取证报告，其中一起在 4.5 小时内执行了 602 步脚本化动作，中途自我纠错。同周，安全研究者 Joshua Saxe 给出一个窗口期判断：当下仍是"防守方占优的窗口"，agent 集群化攻击的破坏力尚未完全展开。【直引：CISA 公告、Wiz 报告、Zvi Mowshowitz 采访】
三件事指向同一个结论：agent 的攻击面在一周之内被实测了三种形态——供应链（假扩展）、漏洞武器化（Brotli）、agent 化入侵（602 步）。防守方现在还读得懂痕迹，这个窗口不会一直开着。【判断】
开发者现在能做的
清单很短，都可在十分钟内做完。
- 检查
~/.ssh目录里有没有名为 svc-telemetry 的 key，有就删掉并轮换相关凭证 - Cursor 用户确认 Claude Code 版本不低于 2.1.314
- 给任何 coding agent 的扩展安装加一道人工核对：发布者全名、下载量、更新历史，三者对不上就等一周再装
小贴士：SSH 后门意味着攻击者可能持有进入你机器的私钥通路。删 key 只断通路，轮换凭证才断损失。两者是两件事。
参考与对照
- BleepingComputer：malicious Claude Code extension on Cursor marketplace（10-29/30）
- Microsoft 安全响应团队与 Anthropic 确认声明（npm 与官方 VS Code Marketplace 未受影响）
- Cursor 强制升级通告：Claude Code 2.1.314
- Wiz：The Rise of Agentic Attacks（10-29）；一年前的 VS Code 扩展凭证泄露报告
- CISA Known Exploited Vulnerabilities：CVE-2026-111497（10-27 收录）
- Zvi Mowshowitz newsletter AI #192：Joshua Saxe 访谈
一句话收束：这次 11 小时的窗口被关上了，验证身份的方式还停在 2015 年。工具在进化，信任模型没有。