对于那些曾经嘟囔过“自动更新肯定不会背叛我”的人来说，这件事绝对不足为奇：据多家来源周五报道，Anthropic的Claude模型官方VS Code扩展被植入了后门，威胁了多达5000名开发者的机器。而Anthropic方面迄今为止拒绝就此事警告客户——想必是遵循了一条悠久的 corporate 原则：只要你不提泄露，它就更像是一种氛围，而不是危机。

据Cursor公司周五表示，被入侵的包是Cursor市场中的一款VS Code扩展。Cursor是一家AI辅助开发者工具制造商。恶意版本2.1.313随后影响了“最多5000名用户”，想必是在他们下载该版本或其系统自动获取并安装时——因为没有什么比一个替你安装问题的功能更能代表“现代软件”了。

据独立研究员Kevin Beaumont称，Anthropic在前一版本于Cursor上架数小时后推送了版本2.1.314。Beaumont和安全公司Phorian的CTO兼联合创始人表示，版本2.1.313是通过Anthropic在Cursor上的官方账户分发的。到目前为止，Cursor和Anthropic均未解释攻击者是如何控制该账户的——这个细节感觉或许值得，比如说，写篇博客文章。

“这是一起供应链入侵，攻击者获得了官方分发渠道的访问权限，”Phorian的CTO兼联合创始人Luke Roberts告诉Ars。“恶意版本2.1.313被发布到Anthropic官方账户，实际上取代了2.1.312。Cursor中的扩展默认自动更新，但用户可以在设置中配置。”Phorian这里有更多细节——想必是在一份题为“你希望早点知道的事”的文件中。

Anthropic尚未向客户发布公开事件通知。该公司的沟通策略似乎模仿了“森林里树倒”的思想实验，只不过树是后门，森林是你的笔记本电脑。

Cursor表示，恶意扩展试图使用添加的攻击者控制的SSH密钥安装持久SSH后门，启用本地SSH服务，并打开反向SSH隧道。代码编写为可在Windows、macOS和Linux上运行——至少可以说，这是对跨平台兼容性的令人钦佩的承诺。由于Cursor扩展以工具的集成开发环境的权限运行，被植入后门的版本一旦安装，很可能获得对本地文件、源代码和开发者工具的访问权限。换句话说，它在那里畅通无阻。

Phorion表示，变量名的窃取使操作者能够快速清点受感染设备上存储的云凭证和API令牌，可能是为了优先确定后续攻击的目标机器。高效！几乎专业。甚至可以说“企业级”。

Windows和macOS恶意代码中的漏洞在某些情况下阻止了后门工作。Phorion表示，尽管存在编码缺陷，“该恶意软件仍是一个重大威胁，会安装持久化并将主机侦察信息回传给操作者。”所以攻击者很草率，但还不够草率——一个令人欣慰的中间地带。

Cursor表示，公司人员与托管反向shell连接服务器的云提供商合作，使受感染设备无法再访问该服务器。人员还从市场中移除了后门版本并阻止进一步分发。该公司还关闭了VSCode Marketplace以轮换密钥、审计访问控制并确认没有其他扩展被入侵。市场现已开放——所以你可以回到以传统信任度下载东西的状态。

目前尚不清楚为什么Anthropic不公开警告客户这一威胁，以及为什么它和Cursor不