2026 年 10 月 29 日，遭竄改的 Claude Code 擴充功能 anthropic.claude-code 2.1.313，曾在 Cursor 擴充功能市集上架，時間約為太平洋時間凌晨 2:27 至下午 1:35，前後約 11 小時。Cursor 表示，最多有 5,000 名用戶收到該版本。這是可能接觸到惡意套件的人數估計，不等於已確認成功遭到遠端入侵的電腦數量。24

這起事件值得留意，是因為擴充功能試圖加入攻擊者控制的 SSH 金鑰，並建立可持續連回受影響電腦的通道。以下整理目前證據所能確認的內容，以及用戶可以檢查的項目。

惡意擴充功能從哪裡散布？

事件初期有報導將遭竄改版本歸因於 Open VSX；後續調查則指向 Cursor 自家的擴充功能市集。Open VSX、Microsoft Visual Studio Marketplace，以及 @anthropic-ai/claude-code npm 套件均被報導為未受影響；相關版本紀錄從 2.1.312 跳到 2.1.314，沒有列出 2.1.313。10131922

惡意套件使用的是正牌擴充功能的身分，而非一眼就能看出的仿冒名稱。Cursor 的公告指出，受影響的市集項目包括 Windows 和 macOS 版 2.1.312 與 2.1.313。因此，用戶檢查裝置時，應依照 Cursor 公告確認，不要只搜尋 2.1.313 這個版本號。419

Anthropic 並未開發這個遭竄改版本。現有事件報告將散布來源指向 Cursor 市集，但尚未說明攻擊者如何取得發布權限。416

惡意程式試圖做什麼？

研究人員在擴充功能原有程式碼前，發現一段 66 行的載入程式。它會蒐集主機與使用者資訊，包括電腦名稱、使用者名稱、作業系統、環境變數名稱、Git 電子郵件，以及公開 IP 位址。18

這段程式也試圖將攻擊者控制、標記為 svc-telemetry 的 SSH 金鑰加入使用者的 authorized_keys 檔案，建立持續執行的機制，並開啟反向 SSH 通道。報告提到的持續執行方式包括 macOS LaunchAgent 與 Windows 排程工作；背景腳本則約每 60 秒重試一次連線。1841

Cursor 表示，惡意程式試圖啟用本機 SSH 服務的步驟，通常會因程式碼錯誤而失敗；除非出現 Cursor 以系統管理員權限啟動等少見情況。這降低了惡意程式在一般電腦上成功建立預期遠端存取管道的可能性，但不能單憑這點判定任何一台特定裝置是否受影響。41

Cursor 如何處理事件？乾淨版本是哪一版？

Cursor 移除了惡意套件，並一度讓擴充功能市集下線。相關報導也指出，Cursor 重建了市集、輪替發布或簽署金鑰，並協助讓攻擊者的伺服器停止運作。1823

2.1.314 被確認為乾淨的替代版本，並已出現在 Open VSX 與 Microsoft Visual Studio Marketplace。410 更新或移除擴充功能可以處理惡意套件本身，但用戶仍應檢查程式是否已在電腦上留下其他項目。48

曾在風險時段安裝的用戶可以怎麼做？

如果你曾在上述時段透過 Cursor 安裝或更新該擴充功能，請依照 Cursor 的安全公告與修復指引檢查裝置。特別留意以下事項：

• 檢查 SSH 授權檔案是否有 svc-telemetry 金鑰，並查看是否存在相關持續執行項目，例如報告中提到的 macOS LaunchAgent 或 Windows 排程工作。14
• 更新至乾淨的 2.1.314 版本，並執行 Cursor 提供的修復步驟；不要假設只更新或解除安裝，就能移除先前已寫入的項目。440
• 輪替可能曾被受影響電腦存取的憑證。如果發現可疑項目，調查期間先隔離該電腦是審慎的預防措施，但這本身不代表攻擊者已成功連線。6

最重要的區別是：收到惡意擴充功能，不等於後門已成功啟用。現有報告確認程式曾嘗試建立持續性的 SSH 後門，並估計最多有 5,000 名用戶接觸到該版本；但沒有證據顯示所有受影響系統都以相同方式遭到成功入侵。2841

2026 年 10 月 29 日，遭竄改的 Claude Code 擴充功能 anthropic.claude-code 2.1.313，曾在 Cursor 擴充功能市集上架，時間約為太平洋時間凌晨 2:27 至下午 1:35，前後約 11 小時。Cursor 表示，最多有 5,000 名用戶收到該版本。這是可能接觸到惡意套件的人數估計，不等於已確認成功遭到遠端入侵的電腦數量。24

這起事件值得留意，是因為擴充功能試圖加入攻擊者控制的 SSH 金鑰，並建立可持續連回受影響電腦的通道。以下整理目前證據所能確認的內容，以及用戶可以檢查的項目。

惡意擴充功能從哪裡散布？

事件初期有報導將遭竄改版本歸因於 Open VSX；後續調查則指向 Cursor 自家的擴充功能市集。Open VSX、Microsoft Visual Studio Marketplace，以及 @anthropic-ai/claude-code npm 套件均被報導為未受影響；相關版本紀錄從 2.1.312 跳到 2.1.314，沒有列出 2.1.313。10131922

惡意套件使用的是正牌擴充功能的身分，而非一眼就能看出的仿冒名稱。Cursor 的公告指出，受影響的市集項目包括 Windows 和 macOS 版 2.1.312 與 2.1.313。因此，用戶檢查裝置時，應依照 Cursor 公告確認，不要只搜尋 2.1.313 這個版本號。419

Anthropic 並未開發這個遭竄改版本。現有事件報告將散布來源指向 Cursor 市集，但尚未說明攻擊者如何取得發布權限。416

惡意程式試圖做什麼？

研究人員在擴充功能原有程式碼前，發現一段 66 行的載入程式。它會蒐集主機與使用者資訊，包括電腦名稱、使用者名稱、作業系統、環境變數名稱、Git 電子郵件，以及公開 IP 位址。18

這段程式也試圖將攻擊者控制、標記為 svc-telemetry 的 SSH 金鑰加入使用者的 authorized_keys 檔案，建立持續執行的機制，並開啟反向 SSH 通道。報告提到的持續執行方式包括 macOS LaunchAgent 與 Windows 排程工作；背景腳本則約每 60 秒重試一次連線。1841

Cursor 表示，惡意程式試圖啟用本機 SSH 服務的步驟，通常會因程式碼錯誤而失敗；除非出現 Cursor 以系統管理員權限啟動等少見情況。這降低了惡意程式在一般電腦上成功建立預期遠端存取管道的可能性，但不能單憑這點判定任何一台特定裝置是否受影響。41

Cursor 如何處理事件？乾淨版本是哪一版？

Cursor 移除了惡意套件，並一度讓擴充功能市集下線。相關報導也指出，Cursor 重建了市集、輪替發布或簽署金鑰，並協助讓攻擊者的伺服器停止運作。1823

2.1.314 被確認為乾淨的替代版本，並已出現在 Open VSX 與 Microsoft Visual Studio Marketplace。410 更新或移除擴充功能可以處理惡意套件本身，但用戶仍應檢查程式是否已在電腦上留下其他項目。48

曾在風險時段安裝的用戶可以怎麼做？

如果你曾在上述時段透過 Cursor 安裝或更新該擴充功能，請依照 Cursor 的安全公告與修復指引檢查裝置。特別留意以下事項：

• 檢查 SSH 授權檔案是否有 svc-telemetry 金鑰，並查看是否存在相關持續執行項目，例如報告中提到的 macOS LaunchAgent 或 Windows 排程工作。14
• 更新至乾淨的 2.1.314 版本，並執行 Cursor 提供的修復步驟；不要假設只更新或解除安裝，就能移除先前已寫入的項目。440
• 輪替可能曾被受影響電腦存取的憑證。如果發現可疑項目，調查期間先隔離該電腦是審慎的預防措施，但這本身不代表攻擊者已成功連線。6

最重要的區別是：收到惡意擴充功能，不等於後門已成功啟用。現有報告確認程式曾嘗試建立持續性的 SSH 後門，並估計最多有 5,000 名用戶接觸到該版本；但沒有證據顯示所有受影響系統都以相同方式遭到成功入侵。2841