AI 代码编辑器 Cursor 的用户遭遇了一起针对软件供应链的攻击尝试。攻击者在该编辑器的专属插件商店中上传了 Anthropic 公司 Claude Code 插件的恶意版本，该版本在被发现并删除前，持续存在了近 11 个小时。
根据技术数据，此次事件涉及标识符为 anthropic.claude-code 的插件的 2.1.312 和 2.1.313 版本。安全研究员凯文·博蒙特（Kevin Beaumont）估计，在被移除之前，该恶意软件可能已经分发到了运行 macOS 和 Windows 操作系统的约 5,000 台开发者设备上。
攻击机制与间谍尝试
攻击者采用的方法是在编辑器加载插件包时自动运行 JavaScript 代码。攻击的第一阶段侧重于通过收集有关主机的敏感信息来侦察开发环境，其中包括：
- 设备名称（Hostname）、用户名、操作系统类型及其系统架构。
- 当前工作目录（Working Directory）的路径。
- 在版本管理工具 Git 中全局注册的电子邮箱地址。
分析结果（包括 微软 公司监测到的情况）表明，该代码随后试图在受害者设备上安装 SSH 密钥、启用本地 SSH 服务器，并建立反向 SSH 隧道（Reverse SSH Tunnel）以允许攻击者绕过防火墙，同时植入了确保系统重启后仍能维持感染状态的自启动文件。
完全入侵失败与响应措施
Cursor 管理层确认，在大多数情况下，攻击者通过 SSH 隧道控制系统的尝试并未完全得逞；因为在大多数 macOS 和 Windows 设备上，启用本地 SSH 服务需要插件默认不具备的管理员权限（Admin/Root），这阻止了攻击者完成远程登录步骤。
另一方面，Anthropic 通过其工程师菲利克斯·里斯伯格（Felix Rieseberg）澄清称，这些伪造版本并非由该公司开发或发布，也没有在 Visual Studio Marketplace、Open VSX 或 NPM 注册表等其他官方商店上架。为了避免版本号出现任何混淆，Anthropic 将其官方版本号直接提升至 2.1.314。
遏制步骤与开发者应对措施
Cursor 平台迅速删除了这两个可疑插件，并暂停了插件商店以进行审查。在重新开放之前，平台轮换了所有安全密钥并重建了商店环境，同时与云托管服务提供商协调以关闭攻击者使用的控制服务器。
该公司强调，从编辑器中简单卸载插件可能不足以清理受感染的系统，因为恶意负载会在系统中创建独立的脚本来保持驻留。Cursor 提供了一个扫描脚本以及入侵指标（IoCs），并建议隔离疑似受感染的设备、清除未授权的 SSH 密钥、停止正在运行的隧道路径，并评估是否需要彻底重置系统以确保彻底清除恶意软件的痕迹。