事件经过
10月29日，一个被篡改的Anthropic Claude Code扩展构建（v2.1.313）在Cursor的VS Code市场上架约11小时。注入的有效载荷将攻击者的Ed25519密钥追加到~/.ssh/authorized_keys，启用OpenSSH，向134.209.82[.]225打开反向隧道，并安装macOS LaunchAgent / Windows SysMon持久化；一个macOS权限漏洞限制了入站访问，但密钥、持久化和主机侦察信标仍然运行。Cursor（SpaceX）撤下了该包，关闭了市场，并发布了修复脚本；约5,000名用户受影响。
影响分析
这是首个通过编辑器市场对广泛采用的AI编程代理进行的实时供应链入侵事件，证明代理扩展是绕过传统供应链控制的主要攻击面，需要市场级签名、扫描和事件响应预案。
适用范围
任何运行Claude Code for VS Code 2.1.313（或Cursor扩展）的用户应立即扫描‘svc-telemetry’密钥、落地的.smt工件和C2连接；从干净的主机轮换凭据，并审查编辑器扩展的采购/扫描政策。