Cursor 市集的 Claude Code 擴充功能遭植入 SSH 後門：台灣時間 10/29 傍晚到隔天清晨裝過的人，光移除還不夠

想像一個很普通的週四傍晚。台北一位工程師開完站會，打開 Cursor，順手把 Claude Code 擴充功能更新到最新版，然後回頭收尾手上的功能。她沒有叫出 AI 助理，也沒有按任何奇怪的按鈕，畫面看起來一切正常。但如果這件事發生在 10 月 29 日下午五點半之後，她的電腦可能已經多了一把別人的 SSH 金鑰。

這不是假設出來的風險。Cursor 10 月 29 日發布安全公告，證實自家擴充功能市集上的 Claude Code 2.1.312 與 2.1.313 版遭到惡意竄改。受影響的是用 Cursor 市集安裝或更新的 macOS 與 Windows 使用者，而台灣的 AI 開發圈裡，這個組合的人其實不少。

事件背景

Cursor 公告寫的時間是太平洋時間 10 月 29 日凌晨約 2:27 到下午 1:35，換算成台灣時間，是 10 月 29 日 17:27 到 10 月 30 日 04:35，約 11 小時。對台灣團隊來說，這段時間的開頭剛好落在下班前後，還在趕工的人很可能碰上。

資安公司 Phorion 的 Calum Hall 發布了詳細分析。攻擊者在擴充功能的 extension.js 最前面塞進一段程式，Node 載入檔案就執行，比擴充功能本身的啟動程序還早，所以使用者完全不需要互動。BleepingComputer 另外提到，OpenSourceMalware 的研究人員也分析了這個套件。

早期有報導說 npm、Open VSX 和微軟的 Visual Studio Code Marketplace 都中招，BleepingComputer 後來更正：確認的散布來源只有 Cursor 市集。Cursor 也說，沒有證據顯示其他版本或官方發行管道受影響。

本次重點

• 它做了什麼：回傳主機名稱、使用者名稱、作業系統、家目錄路徑、工作目錄、Git email 和對外 IP；把攻擊者的公鑰（註記為 svc-telemetry）寫進 ~/.ssh/authorized_keys；嘗試開啟 SSH 並建立反向通道；再用 macOS 的 LaunchAgent 或 Windows 的排程工作留下常駐程式，每 60 秒左右重試一次。
• 環境變數只抓名稱：Phorion 指出，它蒐集最多 40 個含 KEY、TOKEN、SECRET 等字樣的變數「名稱」，沒有抓值。不過 Cursor 特別提醒，這不代表攻擊者之後不能透過後門取得憑證。
• 攻擊者程式有 bug：Cursor 表示，開啟本機 SSH 服務需要系統管理員權限，多數機器這一步會失敗，攻擊者也就登入不了。Phorion 則發現 macOS 的判斷式寫錯，Windows 路徑又寫死了 /bin/sh。
• 但機器上已經留下東西：Cursor 明講，金鑰寫入、常駐機制與主機資訊回傳仍然發生了。攻擊伺服器已由雲端業者下線，常駐腳本卻不會跟著消失。
• Cursor 的處置：移除惡意版本、關閉整個市集、稽核存取權、輪替金鑰、重建市集後再上線，並表示其他擴充功能沒有被竄改。

市場影響分析

台灣使用者

先檢查，不要只看版本號。Rescana 的通報提醒，2.1.312 同時也是 Anthropic 真實發布過的版本，看到這個數字不代表中招，反過來說，已經更新到新版也不代表沒事。Cursor 公告附了檢查方式：Mac 在終端機跑 grep svc-telemetry ~/.ssh/authorized_keys，有輸出就代表金鑰存在；Windows 請用公告裡的 PowerShell 指令，它會同時查使用者與 ProgramData 底下的金鑰檔。

如果查到了，別只是把擴充功能移除。Cursor 和 Phorion 都強調，常駐腳本是獨立運作的，公告提供 macOS 與 Windows 的清除腳本，請照著跑，再評估要不要重灌。

老實說，我最在意的是平常就開著 SSH 的機器。Cursor 那句「攻擊者登入不了」的前提，是本機 SSH 服務沒開。Phorion 的說法也一樣：除非「遠端登入」早就開啟或之後被打開。工程師為了從別台機器連回來而打開遠端登入，其實很常見，這類機器不該套用「多數人沒事」的結論。

企業應用

資安主管今天可以做的，是拿公告裡的入侵指標（IP 134.209.82[.]225、extension.js 雜湊值、com.apple.sysmond 這個假冒蘋果命名的 LaunchAgent）掃端點與網路紀錄。公告也建議隔離有跡象的主機，並從乾淨的系統輪替該主機可存取的憑證與工作階段。

長期來看，Cursor 文件其實列了兩個企業設定：AllowedExtensions 可限定核准的發行者或擴充功能 ID，Marketplace Install Cooldown 可把安裝與更新延後指定時數。這次事件窗口約 11 小時，冷卻期若設得比它長，理論上就躲得過。我覺得這是整起事件裡最便宜的一堂課。若外洩資料涉及員工或客戶個資，通報義務請以主管機關規定與法律顧問意見為準。

開發者

Cursor 文件說，擴充功能上架前會跑自動化的惡意程式與供應鏈分析，未通過的會被擋下。這次的惡意版本還是掛著 Anthropic 的名字上架了。說穿了，把擴充功能當成有完整使用者權限的相依套件來看待，比相信市集的掃描來得實際。文件自己也這樣建議：把擴充功能 ID 當相依套件管理，只裝信任的發行者。

本站先前寫過〈蘋果收緊 macOS 完整磁碟取用權限〉，這次是同一個問題的另一面：AI 開發工具握有的權限越來越大，它們的散布管道也就越值錢。還不熟 Claude Code 的安裝方式，可以看〈Claude Code 教學〉。

未來發展趨勢

目前最大的空白，是沒人解釋惡意版本怎麼上去的。BleepingComputer 指出，尚不清楚攻擊者如何用 Anthropic 的名義發布，也不清楚被入侵的是 Cursor 還是 Anthropic 的系統。Cursor 公告提到「稽核存取權、輪替金鑰」，但沒有交代根本原因，也沒有指認攻擊者。截至發稿，我們查不到 Anthropic 的公開說明。

受影響人數同樣有落差。路透、The Verge 與 BleepingComputer 都報導最多約 5,000 人，但我們查閱 Cursor 現行版本的公告時，已看不到這個數字。

我預期接下來會有兩個變化：更多編輯器把冷卻期與白名單從企業功能往下放，還有資安團隊開始把 AI 編輯器的擴充功能列入軟體物料清單。截至發稿，我們沒看到 Cursor 公布完整的事後檢討報告，這份報告值得等。

TheAI學院 總結與評語

這次攻擊者的程式寫得不好，大家是運氣好，不是防線夠好。

回到開頭那位工程師。她今天該做的事只要幾分鐘：跑一次公告裡的檢查指令，沒有 svc-telemetry 就繼續工作；有的話，跑清除腳本、輪替憑證、通知公司資安窗口。如果她是團隊主管，下一步是把擴充功能的自動取得改成有白名單、有冷卻期。下次的攻擊者，不見得會把 /Off/i 判斷式寫錯。

資料來源

• Security notice: malicious version of Anthropic.claude-code（Cursor，2026-10-29，10-30 更新）
• Compromise of the Claude Code for VS Code Extension on the Cursor Marketplace（Phorion，2026-10-30，10-31 更新）
• Malicious Claude Code extension on Cursor planted SSH backdoors（BleepingComputer，2026-10-30）

本文依公開資訊整理，另參考 Rescana 通報與 The Verge 對路透報導的摘要；事件仍在調查中，受影響版本、清除步驟與後續說明以 Cursor 與 Anthropic 官方公告為準。本文不構成法律或資安鑑識意見。