Claude Code 擴充套件在 Cursor 市集被植入後門：AI 開發工具供應鏈攻擊的近距離示範

10 月 29 日，AI 編程工具開發商 Cursor 發布安全公告：其 VS Code 擴充套件市集中，出現了被惡意改寫（backdoored）的 Anthropic Claude Code 擴充套件（版本 2.1.312 與 2.1.313）。Malicious 版本於當日約清晨 2:27（PT）至下午 1:35（PT）之間在市集上架，存在近 12 小時，據估計最多影響 5,000 名用戶。這不是一次小眾的理論威脅，而是AI 開發工具供應鏈攻擊的一次真實示範——它直接打擊許多開發者每天使用的編程輔助工具。

事件詳情：一段會埋入 SSH 後門的「官方」擴充套件

Cursor 表示，這兩個惡意版本並非由 Anthropic 開發，而是攻擊者偽裝成官方版本，透過 Cursor 擴充套件市集散布。安裝後，擴充套件會執行惡意程式碼，具體行為包括：

• 收集並回報系統資訊：主機名稱、用戶名稱、作業系統、架構、家目錄路徑、環境變數名稱、工作目錄、Git 電郵設定與公開 IP；
• 嘗試建立持久後門：把攻擊者控制的 SSH 金鑰加入 authorized_keys、啟用本機 SSH 服務、開啟反向 SSH 隧道（reverse SSH tunnel），並試圖透過 macOS 的 LaunchAgent 或 Windows 的排程工作（以 SYSTEM 權限執行、並有 Startup-script 為後備）讓隧道每約 60 秒重試以保持持久；
• 能否得手的關鍵在權限：Cursor 指出，因惡意程式碼本身有錯誤，加上開啟本機 SSH 服務需要管理員權限，在多數 macOS 與 Windows 主機上「透過隧道登入」這一步會失敗；而攻擊者伺服器如今已與雲端供應商協力下架、不再運作。

無論後門是否成功開啟，主機資料已被回報，且 authorized_keys 與持久化機制已被變更。Cursor 在偵測後立即移除了惡意版本、封鎖散布，並基於謹慎一度全面關閉市集、輪換金鑰後重建上線。官方要求受影響用戶移除版本、清除 authorized_keys 中加入的未知公鑰、並刪除相關的持久化工作。

為什麼這對企業與開發者特別重要

這宗事件最值得留意的，是它發生在**「最信任的環節」——許多開發者預設相信官方市集裡的擴充套件就是安全的。當 AI 編程助手（如 Claude Code）成為日常工作流的一部分，它所取得的權限往往比一般應用更高**：它能讀取程式碼、執行指令、呼叫工具。供應鏈攻擊之所以危險，正是因為它繞過了用戶對「來源」的判斷，把惡意程式偽裝成「理所當然要信任的官方工具」。

對香港的開發團隊與企業而言，這是一次把「軟體供應鏈安全（software supply chain security)」從資安部門的術語，變成開發者日常習慣的契機。當你安裝任何擴充套件、外掛程式或依賴套件時，「來源是不是官方」已經不再是充分條件——即使是官方市集上的熟面孔，也可能出現一時的漏洞窗口。

對香港企業與在職人士的啟示

• 工具權限最小化：為 AI 編程助手授予執行指令、存取金鑰與系統層級的能力前，先想清楚它是否真的需要。能限制為「僅程式碼編輯」的工作，就不要賦予完整的 Shell 存取；權限越少，攻擊面越小；\n- 建立擴充套件與套件的「清單與版本」管理：企業可要求開發者使用鎖定版本，並在下載新擴充套件時查看變更歷史與發布者可信度。這類「更新風險」不只適用於 VS Code，也適用於 pip、npm、MCP 伺服器等所有供應鏈入口；\n- 把「驗證安裝來源」寫入流程：在安全事件後，Cursor 官方已要求用戶手動檢查 authorized_keys、移除持久化工作。把這個檢查步驟變成例行檢核，勝過等到出事才補救；\n- AI 工具同樣需要資產清單：企業應像管理其他軟件資產一樣，記錄團隊用了哪些 AI 外掛、來自哪個市集、各自版本為何。當供應鏈發生問題時，有清單就能快速對應、迅速止血。

這宗事件沒有造成大規模災難（攻擊者伺服器已失效、後門多數無法登入），但它精準示範了**「AI 工具鏈」如何成為攻擊者眼中高價值的供應鏈入口**。對每天都在用 AI 編程助手的專業人士而言，這是一次便宜的提醒：信任來源固然重要，驗證與權限控管更不可或缺。當工具能替你寫程式、執行指令，保護好自己的機器和金鑰，就等於保護好整套工作流。