Cursor市场的Claude Code扩展遭篡改，装过这两个版本要排查

你在 Cursor 编辑器里搜过或装过 Claude Code 扩展吗？北京时间 2026 年 10 月 29 日 17:27 到 10 月 30 日 04:35 这 11 小时 8 分钟里，Cursor 自己的扩展市场混进了两个被恶意篡改的版本：Anthropic.claude-code 的 2.1.312 和 2.1.313。这两个包不是 Anthropic 开发的，但 Windows 和 macOS 用户只要在这段时间通过 Cursor 扩展市场安装或自动更新了它，就属于官方要求排查的范围。Cursor 在 10 月 29 日发了安全公告，并在 10 月 30 日更新了明确的版本号和排查指标。

出事的是 Cursor 自己的扩展市场，而且光卸载插件救不了场

消息刚传开时，Reddit 上发帖的人以为是 Anthropic 官方的 VS Code 扩展被攻破了；很快评论区的高赞回复都在纠正同一件事：搞混分发渠道了。公开技术分析的安全机构 StepSecurity 也确认，Anthropic 官方渠道没有被这次的恶意包污染。真正出问题的是 Cursor 自己维护的扩展市场。

更麻烦的是它的发作方式。我们平时觉得装错了插件，点一下卸载就干净了，但这次不行。Cursor 在公告里直接提醒：「Uninstalling the extension may not be sufficient — the payload drops standalone persistence scripts that keep running.」（光卸载扩展可能不够——恶意载荷会释放独立的持久化脚本，继续在后台运行。）

StepSecurity 拆解 2.1.313 版本时发现，这个恶意包根本不需要你打开对话框跟 Claude 聊上一句，只要扩展一启动就会触发。它会干三件事：收集你电脑和账户的信息往外发、往系统里塞一把未授权的登录密钥，再留下一份脱离 Cursor 也能自己跑的后台驻留脚本。

这里头有个挺黑色幽默的细节：攻击者原本还写了开启系统远程控制入口的步骤，结果因为代码写错了，在普通用户权限下这一步会直接失败。但别因为这个代码错误就松一口气——前脚加进去的未授权密钥、留下的后台脚本，还有已经报上去的电脑信息，全都实打实地发生了。哪怕你现在把扩展删得干干净净，或者扩展已经自动升级到了后来的正常版本，那个独立脚本只要落了地，就还在后台自己转。

先对一下安装时间和版本，中招的电脑得按隔离、清理、换密码三步走

目前 Cursor 已经下架了这两个恶意版本，审计了市场里的其他扩展，换掉密钥重建了整个扩展市场；接收被盗信息的攻击端服务也被托管方下线了。

这些措施阻止了已识别恶意包的继续分发；那 11 个多小时里已经留下后台脚本的电脑，还得单独清理。不管你现在的扩展列表里显示的是什么新版本号，只要你在用 Cursor 并且装过 Claude Code，都该按下面这几步处理：

第一，卡条件做初步筛查。看三个硬指标：是不是在 Windows 或 macOS 的 Cursor 里装的？是不是在北京时间 10 月 29 日 17:27 到 10 月 30 日 04:35 之间安装或更新过？当时拉下来的是不是 2.1.312 或 2.1.313 版本？（StepSecurity 早期报告只提到了 2.1.313，排查时按 Cursor 最新公告的两个版本算。）如果你压根没在 Cursor 里装过这个扩展，就不用自己吓自己。

第二，拿不准的直接跑官方检查脚本。很多人根本记不清扩展是不是在后台自动更新过，去看一眼现在的版本号也没法回答旧脚本到底有没有落地。最稳妥的办法是去 Cursor 的安全公告页，用官方给的检查脚本对一下入侵指标。如果你用的是公司配的电脑，或者看不太懂脚本输出的结果，别凭感觉去删系统文件，直接把电脑交给公司的安全人员处理。

第三，一旦查出执行或植入痕迹，按被入侵标准善后。官方给出的处置流程很明确：先把这台电脑断网隔离，照着指南清掉加进去的未授权登录密钥和后台驻留项，严重的得评估是不是干脆重装系统；接着，换一台确定干净的设备（比如手机或另一台没装过该插件的电脑），把这台受影响电脑上能访问到的密码、API 密钥和各类登录凭据全部换掉，顺手在各个平台的后台把已登录的旧会话全部踢下线。在没清干净后台脚本之前，别直接在原电脑上改密码，不然新改的凭据还是裸奔。