2026-11-13 02:50:44 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

冒用官方 ID 的 Claude Code Extension：装上 11 小时，5,000 名开发者收到 SSH 后门

原创

塞讯威胁情报
塞讯威胁情报

塞讯威胁情报

2026年11月4日 11:45
上海

去阅读

一句话看懂

2026 年 10 月 29 日，冒用 Anthropic 官方Extension ID 的 Claude Code 恶意版本 2.1.313 出现在 Cursor Extension市场，暴露约 11 小时后才被下架，至多 5,000 名开发者受影响。恶意Extension在加载时即向系统植入 SSH 密钥、搭建反向隧道并跨平台持久化，卸载Extension之后后门仍然存在。

一、发生了什么

10 月 29 日，Cursor 通报其Extension市场出现恶意版本 anthropic.claude-code 2.1.313，冒用官方Extension ID，在市场中存在约 11 小时（09:27 至 20:35 UTC），至多 5,000 名用户可能安装。

独立研究机构的静态分析确认，恶意版本在合法Extension代码头部插入了 66 行立即执行加载器，Extension模块一加载即触发，开发者无需开启任何 Claude 对话。该加载器会向系统植入攻击者控制的 SSH 密钥、建立自动重连的反向隧道、按平台安装持久化任务，并向攻击者服务器回传主机信息。

Anthropic 于次日否认事件源于自身系统遭入侵，称攻击者利用了对 Cursor 市场的访问权；这一说法属于公司自述，尚未获得独立确认。官方渠道版本经独立核查未含恶意代码，恶意版本已从各市场清除。

二、投毒链路：从\"官方Extension\"到 SSH 后门

三、恶意载荷在做什么

两个细节值得留意。一是加载器屏蔽了绝大多数运行报错，恶意操作即使执行失败，正常Extension功能也会继续运行，开发者难以察觉异常。二是由于编码缺陷，SSH 启用在多数 macOS 与 Windows 主机上失败，但这代表的是\"后门暂未建成\"，而非\"没有风险\"——密钥已经植入，在开启远程登录的机器上后门随时可用，攻击目标仍是长期交互式访问。

四、为什么 AI 编程工具成了投毒目标

开发工具与 AI 助手的Extension生态，正在成为供应链投毒的高频入口：Extension市场分发面广、信任度高，一个被投毒的条目就能把后门推给数万名开发者；开发者工具自带执行能力，恶意代码可以随编码操作一起运行，传统终端防护往往不覆盖这一层。

当恶意Extension、恶意技能在生态里以约五分之一的占比扩散，检查发布者名字已经不够用——发布者可能是真的，被投毒的是发布管道。需要盯住的是行为：一个写代码的Extension在植入 SSH 密钥、连接陌生服务器，这类异常应当在几分钟内被识别。

五、官方处置与核查结果

六、排查与处置清单

先判断是否受影响：确认暴露窗口内（10 月 29 日）是否安装过 2.1.313，检查Extension版本号；为 Claude Code 开启自动更新的实例，即使没主动安装也可能中招。

七、塞讯怎么看

这次事件指向一个被普遍低估的风险面：AI 编程工具、AI 技能与Extension生态的供应链投毒。传统软件供应链防护覆盖 npm、PyPI 等包仓库，但 AI Extension市场是独立生态，恶意率明显更高，且开发者工具自带执行权限，一旦被投毒影响直达生产系统。

塞讯科技 CyriGate 软件供应链防投毒智能网关，把投毒防护延伸到 AI 生态：实时监控 ClawHub、Anthropic Marketplace、skills.sh、GitHub/skills 四大平台全量 AI 技能，已收录 650,600+ 威胁记录，覆盖传统软件包与 AI 技能投毒；截至 2026 年 10 月 20 日监控 AI 技能总量 2,244,850+，识别恶意技能 397,844 个，恶意率 17.72%，远高于传统包仓库平均水平。情报矩阵覆盖 30+ 来源、15 类制品，其中 Extension Marketplace 投毒情报为塞讯独家覆盖——这正是本次事件所在的战场。本地查询低于 5 毫秒、云端低于 2 秒，支持 T+6 小时防护窗口。与之配合的 CyriIntel 情报平台覆盖 30+ 全球情报来源，追踪 1000+ APT 组织与勒索团伙，为这类投毒事件的溯源与研判提供支撑。

回到本文开头的问题：当官方 ID 也可能被冒用，发布者名字不再可信，唯一可靠的是对行为的持续监控——谁在往 authorized\_keys 里加密钥、谁在连接陌生服务器、谁在Extension市场发布了异常条目。把这一层纳入供应链防护，是这次事件给每个软件开发团队留下的必修课。

参考来源：FreeBuf《武器化 Claude Code Extension现身 Open VSX》；Cursor 官方安全通告（2026-10-29）；The Hacker News《Official Claude Code Extension on Cursor Marketplace Trojanized with Persistent SSH Backdoor》；智源社区整理（Anthropic 声明与多机构核查）。

情报驱动运营，AI 构建闭环

塞讯科技 Cyritex · 实战型安全产品提供商

13,500 个分支被植入窃密工作流：Gheist 如何用 GitHub 令牌搬走仓库密钥

AI 智能体跑了不到两个月，83 个漏洞攒在手里

▶▶关注【塞讯科技】，了解 AI 闭环的实战型安全运营，获取更多产品动态与安全实战资讯

▶▶关注【塞讯威胁情报】，解锁一线视角的深度威胁情报与漏洞分析，获取第一手安全研究内容