结论：Cursor 于 2026 年 10 月 29 日发现 VS Code 扩展市场出现恶意篡改的 Anthropic Claude Code 扩展（版本 2.1.312 与 2.1.313），11 月 13 日披露调查结果，受影响用户最多 5000 名。
关键数字：最多 5000 用户 / 恶意版本存续约 11 小时 / 链路追踪数据泄露占比不到 0.05%

指标	数值	说明
受影响用户	最多 5000 名	官方逐一直接联系
恶意版本存续时间	约 11 小时	10 月 29 日 2:27 至 13:35（太平洋时间）
链路追踪数据泄露	占比不到 0.05%	仅未开启隐私模式用户
凭证受影响客户	不到 0.01%	来自 Fireworks 密钥泄露路径

恶意扩展做了什么

该恶意版本并非 Anthropic 官方开发。它会收集主机名、用户名、操作系统、公网 IP 等信息，并尝试向 authorized_keys 写入攻击者控制的 SSH 密钥、建立反向隧道以实现持久化后门。由于代码缺陷，多数主机上提权步骤会失败，但 SSH 密钥与持久化机制仍可能被植入。

攻击是怎么发生的

攻击链起于 Fireworks 访问密钥泄露：攻击者借此窃取 Cursor 共享存储桶部分数据，利用少量未脱敏凭证入侵部分 SaaS 工具，并拿到内部凭证后，于 10 月 29 日将篡改版 Claude Code 扩展注入 Cursor 扩展市场。Cursor 随后下架扩展、临时下线市场，并配合云服务商关停攻击服务器。

哪些用户需要排查

曾在 2026 年 10 月 29 日太平洋时间 2:27 至 13:35 之间，在 macOS 或 Windows 上安装或更新至 Anthropic.claude-code 2.1.312 或 2.1.313 的用户需排查。仅卸载扩展无法彻底清除风险，因为恶意载荷会释放独立持久化脚本。使用隐私模式的用户，其提示词与代码不受影响。

该事件对使用 Cursor 的开发者是一个明确警示：扩展市场并非天然可信，安装第三方 AI 编程扩展前应核验版本与发布方。对行业而言，这意味着 AI 编程工具的供应链安全将成为新的攻防焦点。值得注意的是，启用隐私模式能显著降低数据泄露面，建议处理敏感代码的用户默认开启。

常见问题

如何判断自己是否中招？

检查 ~/.ssh/authorized_keys 是否含标签为 svc-telemetry 的攻击者公钥；若曾安装 2.1.312 或 2.1.313 版本，按 Cursor 官方公告运行排查脚本并轮换凭证。

只卸载扩展够不够？

不够。恶意载荷会释放独立持久化脚本，在卸载后继续运行，需按官方指引彻底清除 SSH 密钥、持久化机制与隧道进程。

信息来源：IT之家 2026 年 11 月 14 日报道，Cursor 官方安全公告（2026 年 10 月 30 日更新）。