登录
如果你 10 月 29 日在 Cursor 里装过或更新过 Claude Code 插件，建议先看完这篇再去查一眼插件版本。
发生了什么
Cursor 官方发布安全通告：10 月 29 日（美国太平洋时间），其插件市场里出现了被篡改的 Claude Code for VS Code 插件，版本号 2.1.312 和 2.1.313，影响 Windows 和 macOS。注意，这不是 Anthropic 发布的官方版本，而是被人塞进市场的冒牌货，最多约 5000 名用户下载了它。微博Phorion微博
安全公司 Phorion 拆了这个假插件：恶意代码插在插件包最前面，一加载就执行，不需要你点任何按钮。它干三件事：Phorion
往你的 ~/.ssh/authorized_keys 里塞一把攻击者的 SSH 公钥，等于给攻击者配了把家门钥匙。微博
向境外服务器搭一条反向隧道，并装上开机自启——在 macOS 上伪装成 com.apple.sysmond 系统文件，在 Windows 上藏进启动文件夹。微博
收集主机名、用户名、git 邮箱、公网 IP，还会把环境变量里带 KEY、TOKEN、SECRET 的变量名列一份清单——只报名字不报值，供攻击者挑「肥羊」。Phorion
最戏剧的是：攻击者的代码有 bug
想真正开门进屋，还得把你机器上的 SSH 服务打开，而 Phorion 发现，恶意代码在 macOS 上检查权限的那一步永远会失败——没开远程登录的 Mac，后门反而进不来。Windows 的代码路径里还硬编码了 /bin/sh，基本白给。多数设备因为缺少管理员权限，没有被完整攻破。Phorion微博
但这不是可以放心的理由：如果你的 Mac 本来就开着远程登录，后门就是现成的。Phorion
官方反应很快，但有个大坑
Cursor 当天下架了恶意版本，临时关停整个插件市场，轮换密钥、完成审计后才重新上线，攻击者的服务器也已下线。官方建议所有人升级到 2.1.314。微博微博
坑在于：卸载插件不等于清干净，官方特别提醒光卸载可能不够，残留脚本还会接着跑。隧道进程和 IDE 是脱钩的，你关掉编辑器它照样在后台跑，持久化脚本还躺在硬盘里。微博Phorion
装过 2.1.312 / 2.1.313 的，照这份清单自查。Phorion
把插件升级到 2.1.314；
打开 ~/.ssh/authorized_keys，找注释为 svc-telemetry 的公钥，整行删掉；
检查持久化残留：macOS 看 ~/Library/LaunchAgents/com.apple.sysmond.plist 和 ~/.config/ 下的 .smt、.smtk；Windows 看启动文件夹里的 sysmon.cmd 和叫 SysMon 的计划任务；Linux 查 crontab 里有没有多出来的 @reboot 项；
在进程列表里搜连接 134.209.82.225 的 ssh 或 autossh 进程，杀掉；
如果你的机器开过 SSH，或发现来自 localhost 的可疑登录记录，把这台机器上用过的令牌和凭据全部轮换。
写在最后
AI 编程插件能读写你的代码、能执行命令，权限约等于一个「影子管理员」。这次是 Cursor 的市场，下次可能是任何一个插件市场。点「更新」之前看一眼发布者和版本号，比事后清理省心得多。微博
