安全研究人员近日在Cursor Marketplace上架的Claude Code for VS Code官方扩展中发现恶意代码。涉事版本为Anthropic.claude-code 2.1.313，上线时间约11小时，随后被撤下，攻击者亦关闭了其控制服务器。据估计，受影响用户约5000名。Cursor方面已就此发布安全公告，而Claude Code的开发商Anthropic截至目前尚未作出任何声明。

从行为特征看，该恶意扩展的目标是植入一个持久化的SSH后门。它会先收集主机与用户信息，包括主机名、用户名、操作系统、架构、主目录路径、环境变量名称、工作目录、已配置的Git邮箱以及公网IP地址。随后，扩展尝试将攻击者控制的SSH公钥写入authorized_keys，启用本地SSH服务，并建立反向SSH隧道。

不过，由于恶意代码本身存在缺陷，写入SSH公钥与建立隧道这一步在绝大多数情况下会失败——除非Cursor以管理员权限启动，而这种情况极为罕见。扩展还尝试通过macOS的LaunchAgent或Windows计划任务让反向隧道长期存活，其中Windows任务会尝试以SYSTEM身份运行，并以启动脚本作为回退方案。后台脚本大约每60秒重试一次隧道建立。

在数据回传方面，扩展通过HTTP POST将主机详情与后门状态上报至8099端口上的/beacon路径。原文提及的时间窗口为2026年10月29日太平洋时间凌晨2:27起，但该句在原文中未完整结束，具体截止时间无法确认。目前事件仍在发酵，Anthropic的沉默使外界尚不清楚该恶意版本是如何进入官方发布渠道的。