正版 ID 的 Claude Code 扩展被投毒 11 小时:开发团队装 AI 插件,IT 先立三条准入规矩

攻击手法拆解

恶意代码只有 66 行，插在正常扩展代码前面，扩展一加载就先执行，不需要用户点任何东西。五步：第一步，收集主机信息——主机名、用户名、操作系统、Git 全局邮箱、公网 IP，还有名字里带 KEY、TOKEN、SECRET、PASS、AWS、GCP 的环境变量名（最多 40 个，只传名字不传值，微软确认没有证据表明密钥本身被盗）。第二步，往 ~/.ssh/authorized_keys 里追加攻击者的公钥，注释伪装成无害的"svc-telemetry"。第三步，尝试开本地 SSH 服务、建反向隧道到 134.209.82.225。第四步，跨平台留持久化：macOS 的 LaunchAgent、Linux 的 cron @reboot、Windows 的计划任务，每 60 秒重试一次隧道。第五步，把主机信息用明文 HTTP 发到攻击者服务器。

两个关键细节：Cursor 说恶意代码有 bug，加上开本地 SSH 要管理员权限，大多数 macOS 和 Windows 机器上隧道这步会失败——但密钥、持久化、信息上报都会实际发生。干净的 2.1.314 已由 Anthropic 在 10 月 30 日发布。攻击者怎么拿到官方账号发布权限的，两家公司都没说。

中招自查清单（照着做）

• [ ] 时间范围：10 月 29 日 2:27am–1:35pm（太平洋时间）期间，从 Cursor 市场装过或自动更新到 2.1.312 / 2.1.313 的 macOS、Windows 机器
• [ ] 最快检查：macOS 跑 grep -qs svc-telemetry ~/.ssh/authorized_keys；Windows 查用户目录和管理员目录下的 authorized_keys，有命中就是中招
• [ ] 只卸载扩展不够：持久化脚本在扩展目录之外，先隔离主机、保全证据，再删密钥、清持久化、杀隧道进程
• [ ] 轮换凭证：从受影响机器能接触到的 API 密钥、云凭证、会话，全部轮换一遍
• [ ] 升级到 2.1.314，并确认来源是官方渠道

转型落点：三条准入规矩，写进 IT 流程

第一，只允许受信任发布者的扩展进开发机，个人市场、第三方源一律走审批。第二，设扩展安装冷却期：新版本先晾几天，等社区和安全厂商验过再推给全员——这次 11 小时的窗口，冷却期本来能挡掉大半。第三，定期审计已装扩展：谁装了什么版本、从哪装的，要有清单。Cursor 事后关停整个市场做审计、轮换内部密钥、配合打掉攻击服务器，动作是对的，但企业不能把安全押在厂商的反应速度上。AI 工具进了开发机，就是生产环境的一部分，按生产环境管。