「Anthropic 被黑，给开发者投远程木马」？我们核对了 Cursor 官方通告：投毒发生在第三方市场，官方分发未受影响
10 月 30 日晚间（北京时间），一篇标题为「Anthropic hacked to deliver remote access trojan to Claude developer laptops worldwide」的文章在一小时内两次冲上 Hacker News 前排，作者署名安全博客 doublepulsar，另一条「Backdoors in official Claude Code extensions」的爆料帖同步出现。恰逢同一天 HN 前排还有一条大新闻——链上数据平台 Arkham 的实体页面显示 Binance 遭 56 亿美元级别盗窃。三件事挤在一起，「Anthropic 被黑、木马直插开发者笔记本、顺带引爆 Binance」的叙事开始在各大群聊疯传。
我们逐条核对了目前唯一的一手官方信源——Cursor 官方 10 月 29 日发布的安全通告，以及 HN 讨论区的原始引文。结论先说：攻击是真的，但「Anthropic 被黑」这个标题，与官方通告的表述对不上。
TL;DR
- 确有投毒：Cursor 的 VS Code 扩展市场在 10 月 29 日（太平洋时间）流入了恶意构造的 Anthropic.claude-code 2.1.313，持续约 11 小时，最多影响 5000 名用户
- 但不是 Anthropic 被黑：Cursor 官方通告原文明确写着「该恶意版本并非由 Anthropic 开发」，且「没有任何证据表明其他版本或官方分发渠道受到影响」
- 「远程木马」打了折扣：通告披露恶意代码因自身 bug，在绝大多数主机上无法完成 SSH 反向隧道；实际生效的是收集主机信息 + 注入攻击者 SSH 公钥 + 持久化脚本
- 攻击者服务器已被下线：Cursor 已联合云服务商掐断 C2，扩展市场整体关停审计、轮换密钥后重建
- 与 Binance 被盗的关联纯属时间巧合下的推测：截至发稿没有任何证据把两件事连起来
一、可证实的事实链
以下是 Cursor 官方安全通告（2026 年 10 月 29 日）给出的完整时间线，我们全文核验过：
- 时间窗：太平洋时间 10 月 29 日凌晨 2:27 至下午 1:35（北京时间 10 月 29 日 17:27 至 10 月 30 日凌晨 4:35），一个被恶意修改的 Claude Code 扩展版本出现在 Cursor 的 VS Code 扩展市场
- 包名与版本：Anthropic.claude-code 2.1.313——与官方扩展同名同 ID，仅版本号可用于区分
- 影响面：官方口径「至多 5000 名用户」，将逐一联系
- 官方定性：恶意版本不是 Anthropic 开发的；无证据表明其他版本或官方分发渠道受影响
- 处置：恶意版本即时下架 → 整个 VS Code 扩展市场关停 → 审计确认无其他扩展被篡改 → 轮换密钥、重建市场 → 联合云服务商将攻击者服务器下线
这份通告发布于 10 月 29 日，早于 10 月 30 日刷屏的「Anthropic 被黑」文——也就是说，写作者完全有机会读到官方口径。
二、标题与事实的三处偏差
偏差一：「Anthropic 被黑」。 doublepulsar 文章的核心指控（据 HN 讨论区援引的原文段落）包括「Anthropic 没有通知客户，悄悄删除了带后门的版本」以及「受污染的 2.1.313 已被 Anthropic 用 2.1.314 替换」。但 Cursor 官方通告的措辞与之冲突：恶意版本非 Anthropic 开发、官方分发未受影响。HN 评论区 highest-signal 的质疑很直接：「Cursor 通告都说了恶意版本不是 Anthropic 做的，为什么要把这包装成 Anthropic 被入侵？」还有读者指出，最初的分析来自另一个安全博客且基于未验证样本、原文已发布更新修正，批评这篇追热点文「零调查、标题党」。至于恶意版本究竟如何进入 Cursor 市场（发布账号被盗？审核绕过？），官方通告未披露——这是整个事件里真正值得追问的悬案，但「悬案」不等于可以写「Anthropic 被黑」。
偏差二：「远程访问木马已投递」。 通告的技术细节显示，恶意代码试图做五件事：收集主机信息（主机名、用户名、系统架构、家目录、环境变量名、工作目录、Git 邮箱、公网 IP）；把攻击者控制的 SSH 公钥写入 authorized_keys；开启本地 SSH 服务并建立反向隧道；通过 macOS LaunchAgent 或 Windows 计划任务做持久化、每 60 秒重试；向 8099 端口回传主机详情。但通告同时披露：除非 Cursor 以管理员权限启动，恶意代码自身的错误导致 SSH 隧道这一步在绝大多数主机上会失败——开启 SSH 服务需要管理员权限，而扩展通常拿不到。「木马投递成功」与「后门尝试但大概率失败」，在安全事件的定性上是两回事。
偏差三：Binance 关联。 传播链里最诱人的钩子是「Binance 也在用 Claude Code，56 亿美元是不是就这么被偷的」。时间线确实暧昧：投毒窗口与 Arkham 页面标注的「Binance-hacker-1029」同日。但把两件事连起来的全部证据，是「Binance 有员工用这个扩展」——使用 ≠ 经此渠道失陷。截至发稿，Binance 官方、Anthropic 官方、Cursor 官方都没有确认任何关联。在官方口径出来之前，这就是推测，写进标题就是造谣预备。
三、开发者自查清单（按官方通告整理）
如果你在北京时间 10 月 29 日 17:27 至 10 月 30 日 04:35 之间，从 Cursor 扩展市场安装或更新过 Anthropic.claude-code，按下面顺序自查。注意：从微软官方市场或 npm/官方渠道安装的不受此事件影响。
第一步，一键检测（macOS/Linux）：
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"
恶意扩展注入的攻击者公钥带有 svc-telemetry 标签，这是目前最可靠的指纹。
第二步，清持久化。检查 ~/Library/LaunchAgents/（macOS）或计划任务（Windows）里来路不明的条目——通告特别警告：只卸载扩展是不够的，payload 会投放独立运行的持久化脚本。
第三步，凭据轮换。官方建议从可信设备轮换受影响主机可访问的所有凭据与会话——即便环境变量收集范围有限，也不能排除后门存活期间的二次访问。
第四步，评估重装。检测到 payload 执行或后门安装证据的主机，按官方建议考虑整机重建。
四、比「谁被黑了」更重要的两件事
第一，第三方市场的信任模型破了。 同名同 ID 的扩展包，在官方渠道和第三方市场可能来自不同发布者——这次事件里 5000 名用户以为自己在装 Anthropic 官方件。对团队而言，实操结论很朴素：AI 编码工具的扩展一律锁定官方分发源，市场类渠道纳入供应链审计范围。
第二，AI 编码工具正式成为高价值攻击面。 Claude Code、Cursor 的用户画像就是「握着生产环境凭据的开发者」——攻击者不需要打 Anthropic，污染一个扩展市场就够了。这与我们此前跟踪的方向完全连续：从「AI 实验室集体断网」的隔离实验，到编码 Agent 相关组件的 CVE 通告，「开发者的 AI 工具链」正在从便利设施变成入侵路径。
事件仍在发酵：Anthropic 官方截至目前未见公开回应，恶意版本的入市机制官方尚未披露。我们持续跟踪，有新信源再更新。
信源说明：本文事实部分依据 Cursor 官方博客安全通告（2026-10-29，全文核验）、Hacker News 讨论区原始引文、Arkham 链上数据页。doublepulsar 原文托管平台在本文写作时无法访问，其主张均标注为「HN 讨论区援引的原文段落」，未做直接采信。
转载自 CSDN-专业IT技术社区
原文链接：https://blog.csdn.net/weixin_41407416/article/details/169562702
