Cursor Marketplace 上 Claude Code for VS Code 扩展中的后门

原文 ↗ Hacker News 讨论 ↗

一个经过恶意修改的流行 Claude Code for VS Code 扩展版本曾短暂通过 Cursor 的扩展 marketplace 传播，添加了攻击者控制的 SSH key，并在受影响的开发者机器上创建了远程访问后门。评论者争论这究竟是 Anthropic 本身被入侵，还是 Cursor 的 marketplace 基础设施遭到破坏，并指出 VS Code/OpenVSX 扩展生态存在更广泛的弱点，包括缺乏签名、marketplace 冒充以及权限过高的编辑器插件。考虑到它可能与一次重大加密资产盗窃有关，这起事件被视为一次高风险的供应链警示，并引发了对开发工具更强隔离、延迟自动更新以及对扩展进行更严格来源验证的呼吁。

事件概述

  • “Claude Code for VS Code” 扩展的恶意构建版本 2.1.313 携带了基于 SSH 的后门（反向 shell）。
  • 载荷行为（根据所链接的分析）：确保 ~/.ssh 存在，将标记为 svc-telemetry 的攻击者密钥追加到 authorized_keys，设置严格权限，并建立反向隧道。
  • 影响范围尚不清楚：Cursor 之后报告称其侧约有 5,000 名受影响用户；而该扩展品牌在各生态中的总安装量达到数千万。

恶意版本所在位置

  • 讨论者区分了三个生态：
    • Microsoft VS Code Marketplace。
    • Open VSX（供 VS Code 分支 / 非微软构建使用）。
    • Cursor 自己的 marketplace / 位于 Open VSX 前面的代理。
  • 多条评论，包括 Anthropic 代表的说法，称：
    • 恶意的 2.1.313 只出现在 Cursor 的 marketplace。
    • 它 没有 通过官方 VS Code marketplace 或 Open VSX 发布。
    • 2.1.313 从来不是 Anthropic 的正式发布；全局使用 2.1.314 是为了“跳过”这个版本并避免混淆。
  • 早先的评论怀疑 Open VSX 遭到入侵；后来的澄清称，这起具体事件局限于 Cursor 的代理 / marketplace。

责任与根因（不明确 / 存在争议）

  • 一方认为：这是 Cursor marketplace 被入侵（或被冒充），而不是 Anthropic 的系统或笔记本被攻破。
  • 另一些人则认为 Anthropic 仍应承担部分责任，因为：
    • Cursor 的上架使用了 Anthropic 品牌（“由……制作”语义）。
    • 用户合理地以为 Anthropic 控制着该扩展渠道。
  • 攻击者如何访问 Cursor marketplace 的确切机制目前尚不清楚。

影响、检测与缓解

  • Cursor 的通告：用户可检查 authorized_keys 中是否新增了 svc-telemetry SSH key，以判断自己是否受影响。
  • 有人指出，如果没有该 key，说明载荷可能并未完全执行。
  • 也有人担忧，即便目标是窃取加密资产，反向 shell 还会暴露源代码、密钥和基础设施。

与其他事件的关联（未经证实）

  • 多条评论推测这与同时期一宗重大加密资产盗窃事件有关，理由包括时间点以及受害者公开使用 Cursor + Claude Code。
  • 也有人提醒这只是间接证据，尚未得到证实。

生态与供应链担忧

  • 对 VS Code / VSCodium / Open VSX 生态的批评包括：
    • 扩展缺乏强签名、验证和权限模型。
    • 容易受到 typo-squatting 和 marketplace 冒充攻击。
  • 对 Cursor 声称的自动恶意软件 / 供应链扫描提出质疑，因为恶意构建版本大约有 11 小时处于可用状态。
  • 讨论进一步扩展到：
    • 包注册表（npm 等）也是类似的薄弱环节。
    • 需要扩展签名、可信发布工作流，以及延迟自动更新（VS Code 和 Cursor 都有延迟功能，但默认值可能过于激进）。

AI 工具、信任与隔离

  • 许多评论者重新评估以下风险：
    • 具有类似 RCE 能力的代理式 IDE 工具。
    • 在开发者机器上运行任意代码的 CLI 工具和 harness。
  • 建议的缓解措施：
    • 将 AI 工具运行在容器、虚拟机或独立用户账户中，并只挂载最少的目录，严格限制 SSH / 云凭据的作用域。
    • 关闭或延迟自动更新；在可行时手动审查新版本。

沟通与信任

  • 一些参与者认为公开沟通令人困惑且缓慢，尤其是在以下方面：
    • 哪些 marketplace 受到了影响。
    • Anthropic 自己的系统是否被入侵。
  • 有人呼吁 Anthropic 和 Cursor 提供更清晰、集中化的事件报告和事后分析，而不只是零散的社交媒体帖子和 marketplace 编辑。