Cursor提醒安装过其市场中恶意Claude Code扩展的开发者：仅卸载扩展可能不足以消除风险，受影响设备还需检查并清理残留组件；可从设备访问的凭据和会话，也应改由可信系统进行轮换。此次事件涉及macOS和Windows版Anthropic.claude-code 2.1.312及2.1.313，是否发生成功入侵取决于设备配置和权限条件。
受影响版本及上架时间
Cursor的安全公告称，两个恶意版本于2026年10月29日太平洋时间约凌晨2时27分至下午1时35分间出现在其市场。公司表示，恶意版本并非由Anthropic开发，目前没有证据显示其他版本或官方分发渠道受到影响。
Cursor于10月30日补充了受影响版本和相关识别信息。安全研究人员Phorion最初只识别出2.1.313，随后在10月31日更新分析，将2.1.312也列入受影响范围。
恶意代码试图建立SSH远程访问
Phorion分析称，载荷试图加入攻击者控制的SSH密钥、开启设备的SSH远程登录服务，并建立反向隧道。若SSH服务处于运行状态，植入的密钥可能让攻击者通过隧道登录设备。恶意代码还尝试维持长期存在：macOS上使用LaunchAgent；Windows上则尝试创建计划任务，失败时改用启动文件夹作为后备方式。
据Phorion称，扩展模块被Node加载时，注入代码便会执行，不必等到扩展正常激活回调，也不需要用户进一步操作。不过，远程访问能否成功仍受主机状况影响。研究人员发现，macOS代码存在权限检查问题：若以标准用户身份运行，可能不会启用远程登录；但若SSH此前已开启，或之后被开启，植入的密钥在隧道运行期间仍可能提供访问途径。
关闭攻击服务器不等于清除本地残留
Cursor表示，已与托管服务商合作关闭攻击者服务器，移除恶意扩展、轮换自身密钥，并重建后重新开放市场。但这些平台侧措施不会自动清除受影响电脑上可能留下的组件。
Phorion称，最初的信标会回传主机信息，以及最多40个匹配的环境变量名称，而非这些变量中的秘密值。Cursor指出，这一有限的数据收集情况并不能排除攻击者之后通过后门获取凭据的可能性。
Cursor建议用户检查终端、网络和扩展安装记录；如发现载荷执行或后门安装迹象，应隔离设备，移除未经授权的SSH密钥、持久化机制和运行中的隧道。公司公告提供了针对不同系统的修复脚本，并建议评估是否需要重装或重建主机。用户还应通过可信设备轮换受影响主机可访问的凭据和会话。对于开发者而言，这可能包括本地账户能够访问的开发或金融服务凭据；目前公告和分析均未证实发生加密货币盗窃，也未确认此次攻击专门针对加密货币行业。