Cursor 披露恶意 Claude Code 扩展调查结果：最多波及 5000 名用户

据 IT之家 11 月 14 日报道，Cursor 于当地时间 11 月 13 日公布安全事件调查结果：攻击者曾将未经授权、经过篡改的 Anthropic Claude Code 扩展植入 Cursor 扩展市场，恶意版本存在约 11 小时，最多波及 5000 名用户。Cursor 表示，绝大多数客户未受影响，已逐一联系受影响客户并告知具体情况。此次事件涉及凭证泄露、内部工具遭入侵及扩展分发环节，并非单纯的插件冒名问题。

从密钥泄露到恶意扩展，攻击如何发生

根据披露，攻击者首先利用泄露的 Fireworks 访问密钥，获取了 Cursor 共享存储桶中的部分数据，再利用其中少量未经脱敏的凭证，进入部分 SaaS 工具。该环节涉及不到 0.01% 的客户，攻击者访问范围包括部分非生产代码仓库、客户支持数据及部分用户凭证。

发现异常后，Cursor 停用了泄露密钥、轮换凭证并切断未授权访问，还预防性关停部分内部及产品服务，确认安全后逐步恢复。但攻击者已利用窃取的内部凭证，于 10 月 29 日将篡改版 Claude Code 扩展注入市场。来源明确指出，该恶意扩展植入事件与 Anthropic 及 Open VSX 无关。

• 恶意版本为 Anthropic.claude-code 2.1.312 和 2.1.313，在市场中存在约 11 小时。
• Cursor 随后下架扩展、临时关闭市场，并配合云服务商关停攻击者服务器。
• 10 月 30 日，Cursor 发布安全公告，通知受影响方并协助吊销、轮换泄露密钥。
• 11 月 1 日拦截最后一次攻击后，Cursor 确认事件已受控。

隐私模式与数据泄露范围需要分开看

Cursor 表示，使用隐私模式的用户，其提示词和代码未受影响。对于未使用隐私模式的用户，编程智能体链路追踪数据遭泄露的用户占比不到 0.05%；相关用户已经确认并收到直接通知。官方称，没有收到通知的用户，其数据不在这批泄露的链路追踪数据中。

需要注意，“最多 5000 名用户”对应恶意扩展可能波及的范围，而链路追踪数据泄露、未脱敏凭证涉及的比例属于不同环节，不能相互替代，也不能据此认定所有受影响者都遭遇了相同的数据暴露。

对 AI 开发工具意味着什么

此次事件提醒开发者，AI 编程工具的安全边界不仅在模型本身，也覆盖云端存储、内部凭证、SaaS 工具和扩展发布渠道。一个环节中的凭证泄露，可能继续传导至用户信任的软件分发入口。对工具厂商而言，凭证隔离、数据脱敏与发布权限控制，需要作为一条完整链路审视。

对用户而言，当前最重要的是核对安装记录与官方通知。曾安装上述恶意版本的用户，仅卸载扩展不足以彻底清除风险，应按 Cursor 公告指引排查，并配合处理相关密钥。隐私模式在此次事件中体现了对提示词和代码的保护作用，但不应被理解为对所有攻击路径的全面防护。Cursor 表示，将继续加强监控与安全防护，有新进展会直接通知受影响客户。