2026年10月29日，遭篡改的 Claude Code 擴充功能 anthropic.claude-code 2.1.313，曾在 Cursor 的擴充功能市集上架，時間由太平洋時間凌晨約 2:27 至下午 1:35，前後約 11 小時。Cursor 表示，最多有 5,000 名用戶收到該版本。24

要留意，「收到惡意版本」不代表電腦已確認遭人成功遙距登入。研究人員發現，擴充功能內的程式碼曾嘗試在受影響電腦建立持續性的 SSH 遙距存取途徑；但後門有部分步驟可能無法啟動。以下整理事件已知情況，以及用戶可以採取的檢查措施。

惡意版本從哪裏流出？

部分早期報道曾將事件指向 Open VSX；但之後的分析將散播來源指向 Cursor 自家的擴充功能市集。Open VSX、Microsoft Visual Studio Marketplace，以及 @anthropic-ai/claude-code npm 套件被報告為未受影響；相關版本列表由 2.1.312 跳至 2.1.314，沒有列出 2.1.313。10131922

惡意套件使用了正規擴充功能的身份，而非一眼可見的仿冒名稱。Cursor 的安全公告亦提到，受影響市集列表包括 Windows 和 macOS 版本的 2.1.312 及 2.1.313。因此，若曾在相關時段透過 Cursor 安裝或更新，應依照 Cursor 公告檢查，不宜只靠搜尋 2.1.313 這個版本號。419

Cursor 表示，遭篡改版本並非由 Anthropic 開發。現有事件資料指向 Cursor 市集，但未交代攻擊者如何取得發布權限。416

惡意程式碼試圖做甚麼？

研究人員在擴充功能原有程式碼前，發現一段 66 行的載入程式。它會收集主機和用戶資料，包括電腦名稱、用戶名稱、作業系統、環境變數名稱、Git 電郵地址及公開 IP 地址。18

程式碼亦試圖把攻擊者控制的 SSH 公開密鑰加入用戶的 authorized_keys 檔案，密鑰標記為 svc-telemetry；同時設定開機後持續執行，並嘗試建立反向 SSH 通道。SSH 是一種常用的加密遙距連線方式；若這些步驟成功，攻擊者便可能取得連回受影響電腦的途徑。報告提及的持續執行方式包括 macOS LaunchAgent 和 Windows 排程工作，背景程式則會約每 60 秒重試連線。1841

不過，Cursor 指出，惡意程式碼啟用本機 SSH 服務的步驟通常會因程式錯誤而失敗；除非遇上較罕見情況，例如 Cursor 以管理員權限啟動。這令一般電腦成功開通預期遙距存取途徑的可能性降低，但單憑這點，仍不能判定某部個別電腦有沒有留下其他惡意設定。41

Cursor 如何處理？乾淨版本是哪個？

Cursor 移除了惡意套件，並曾暫時關閉其擴充功能市集。報道亦指出，Cursor 重建市集、輪換發布或簽署金鑰，並協助令攻擊者的伺服器下線。1823

2.1.314 被確認為乾淨替代版本，並出現在 Open VSX 及 Microsoft Visual Studio Marketplace。410 安裝新版本或移除擴充功能可以處理惡意套件本身，但未必會清除程式碼可能已寫入電腦的其他檔案或設定；因此不要只更新了事。48

曾經安裝或更新？建議檢查這幾項

如果你在相關時段透過 Cursor 安裝或更新該擴充功能，請先參考 Cursor 的安全公告及清理指引，檢查電腦：

• 在 SSH 授權檔案中搜尋 svc-telemetry，並檢查公告提及的持續執行項目，例如 macOS LaunchAgent 或 Windows 排程工作。14
• 更新至乾淨的 2.1.314，並依照 Cursor 提供的清理步驟處理。單靠更新或解除安裝，未必能移除已寫入系統的項目。440
• 輪換可能曾在該電腦上存取的憑證。如果發現可疑項目，調查期間先將電腦與網絡隔離，是審慎的預防措施；但這不代表已證實攻擊者成功連入。6

這宗事件最重要的分別，是「惡意擴充功能曾經送到用戶手上」與「後門已成功啟動」並非同一回事。現有資料確認惡意程式碼曾嘗試設置持續性 SSH 後門，並估算最多 5,000 名用戶接觸過該版本；但未證實所有接觸到的電腦都以相同方式遭到入侵。2841

2026年10月29日，遭篡改的 Claude Code 擴充功能 anthropic.claude-code 2.1.313，曾在 Cursor 的擴充功能市集上架，時間由太平洋時間凌晨約 2:27 至下午 1:35，前後約 11 小時。Cursor 表示，最多有 5,000 名用戶收到該版本。24

要留意，「收到惡意版本」不代表電腦已確認遭人成功遙距登入。研究人員發現，擴充功能內的程式碼曾嘗試在受影響電腦建立持續性的 SSH 遙距存取途徑；但後門有部分步驟可能無法啟動。以下整理事件已知情況，以及用戶可以採取的檢查措施。

惡意版本從哪裏流出？

部分早期報道曾將事件指向 Open VSX；但之後的分析將散播來源指向 Cursor 自家的擴充功能市集。Open VSX、Microsoft Visual Studio Marketplace，以及 @anthropic-ai/claude-code npm 套件被報告為未受影響；相關版本列表由 2.1.312 跳至 2.1.314，沒有列出 2.1.313。10131922

惡意套件使用了正規擴充功能的身份，而非一眼可見的仿冒名稱。Cursor 的安全公告亦提到，受影響市集列表包括 Windows 和 macOS 版本的 2.1.312 及 2.1.313。因此，若曾在相關時段透過 Cursor 安裝或更新，應依照 Cursor 公告檢查，不宜只靠搜尋 2.1.313 這個版本號。419

Cursor 表示，遭篡改版本並非由 Anthropic 開發。現有事件資料指向 Cursor 市集，但未交代攻擊者如何取得發布權限。416

惡意程式碼試圖做甚麼？

研究人員在擴充功能原有程式碼前，發現一段 66 行的載入程式。它會收集主機和用戶資料，包括電腦名稱、用戶名稱、作業系統、環境變數名稱、Git 電郵地址及公開 IP 地址。18

程式碼亦試圖把攻擊者控制的 SSH 公開密鑰加入用戶的 authorized_keys 檔案，密鑰標記為 svc-telemetry；同時設定開機後持續執行，並嘗試建立反向 SSH 通道。SSH 是一種常用的加密遙距連線方式；若這些步驟成功，攻擊者便可能取得連回受影響電腦的途徑。報告提及的持續執行方式包括 macOS LaunchAgent 和 Windows 排程工作，背景程式則會約每 60 秒重試連線。1841

不過，Cursor 指出，惡意程式碼啟用本機 SSH 服務的步驟通常會因程式錯誤而失敗；除非遇上較罕見情況，例如 Cursor 以管理員權限啟動。這令一般電腦成功開通預期遙距存取途徑的可能性降低，但單憑這點，仍不能判定某部個別電腦有沒有留下其他惡意設定。41

Cursor 如何處理？乾淨版本是哪個？

Cursor 移除了惡意套件，並曾暫時關閉其擴充功能市集。報道亦指出，Cursor 重建市集、輪換發布或簽署金鑰，並協助令攻擊者的伺服器下線。1823

2.1.314 被確認為乾淨替代版本，並出現在 Open VSX 及 Microsoft Visual Studio Marketplace。410 安裝新版本或移除擴充功能可以處理惡意套件本身，但未必會清除程式碼可能已寫入電腦的其他檔案或設定；因此不要只更新了事。48

曾經安裝或更新？建議檢查這幾項

如果你在相關時段透過 Cursor 安裝或更新該擴充功能，請先參考 Cursor 的安全公告及清理指引，檢查電腦：

• 在 SSH 授權檔案中搜尋 svc-telemetry，並檢查公告提及的持續執行項目，例如 macOS LaunchAgent 或 Windows 排程工作。14
• 更新至乾淨的 2.1.314，並依照 Cursor 提供的清理步驟處理。單靠更新或解除安裝，未必能移除已寫入系統的項目。440
• 輪換可能曾在該電腦上存取的憑證。如果發現可疑項目，調查期間先將電腦與網絡隔離，是審慎的預防措施；但這不代表已證實攻擊者成功連入。6

這宗事件最重要的分別，是「惡意擴充功能曾經送到用戶手上」與「後門已成功啟動」並非同一回事。現有資料確認惡意程式碼曾嘗試設置持續性 SSH 後門，並估算最多 5,000 名用戶接觸過該版本；但未證實所有接觸到的電腦都以相同方式遭到入侵。2841