10月29日，AI编程工具Cursor的插件商城上线了一款被篡改的Anthropic Claude Code扩展，该恶意版本编号为2.1.313，在太平洋时间凌晨2:27至下午1:35之间分发约11小时，最多可能有5000名开发者下载。Cursor已确认，恶意软件试图在用户设备上安装持久性SSH后门。

安全研究人员发现，攻击者并未改动原有合法功能代码，只是在扩展的网页链接文件开头插入恶意JavaScript加载器。开发者安装该恶意版Claude Code之后，恶意代码就会自动运行，不会与Claude Code进行任何交互。该恶意程序会收集用户名、主机名、公网IP、Git邮箱及与敏感凭据相关的环境变量名称，并将信息发送至攻击者服务器。它还会添加攻击者控制的SSH密钥，尝试启用SSH访问、建立反向隧道，并通过macOS LaunchAgent或Windows计划任务、启动脚本实现持久化，约每分钟重试一次连接。不过，由于恶意代码在SSH配置环节存在明显错误，许多Windows和macOS设备可能未能被成功开启远程访问。

Cursor已下架恶意扩展，并临时关闭整个扩展市场，以审查其他插件、轮换访问密钥。该公司还协同托管服务商关闭攻击者服务器，切断了反向SSH连接与数据回传。Cursor表示，未发现其他扩展版本或官方分发渠道受影响，但尚未说明攻击者如何以Anthropic名义发布被篡改的软件包。