把问题扩展卸载、再装上新版本，电脑就安全了吗？Cursor这次安全公告提醒开发团队，答案可能是否定的。其扩展市场中的Claude Code扩展有两个版本遭恶意修改，载荷会尝试留下独立运行的持久化机制。市场恢复上线，只说明分发侧完成了一轮处置，不能替每台曾运行扩展的开发机出具清理证明。

快速看点：当前明确范围是Cursor市场分发的Anthropic.claude-code 2.1.312与2.1.313，涉及macOS和Windows；不是Claude模型本身或所有官方分发渠道被确认失陷；卸载扩展不足以排除残留，是否发生后续访问还要结合主机证据判断。

版本、来源和时间，必须同时对上

公告页面标注10月29日，10月30日太平洋时间11时30分又更新了指标与受影响版本说明。它给出的分发窗口为29日太平洋时间2时27分至13时35分，换算北京时间是29日17时27分至30日4时35分。两个日期跨越午夜，企业不能只按本地“某一天安装过”来筛选。

独立研究机构Phorion也在31日修正了此前仅列2.1.313的范围，补入2.1.312。因此，只排查一个版本可能漏项；反过来，仅看到相同产品名或某个最新版本号，也不能证明这台设备当时取得的是问题包。安装来源、历史版本与实际加载情况，需要一起保存和核对。

Cursor表示，恶意版本并非Anthropic开发，目前没有证据表明其他扩展版本或正式分发受到影响；公司还称访问审计未发现其他扩展遭篡改。这是公告限定范围内的调查结论，不能扩大成“所有渠道都被攻破”，也不应把它改写为对所有开发机的安全保证。

连接未成功，不代表没有留下东西

已分析的载荷会收集主机名、用户、系统、工作目录、Git邮箱及公网IP等信息，还会报告部分环境变量名称。这里必须区分名称与值：当前材料支持的是变量名称侦察，不能直接写成所有API密钥已经被读取。但如果后续远程访问成立，初始侦察的有限范围也不能排除进一步接触凭据。

载荷还尝试添加未经授权的SSH公钥、开启本地SSH服务并建立反向隧道，再通过系统启动机制维持运行。公告与研究均指出，普通用户权限、服务状态以及实现错误，可能使远程入口的某些步骤失败。这些条件限制了攻击链，却不是一套可靠防护措施，更不等于扩展没有执行。

例如，开启系统SSH服务常需要管理员权限，但某些用户目录中的密钥或启动项仍可能写入。调查时应把“安装过”“载荷加载过”“建立过连接”“发生过实际登录”分开，避免把最后一步没有证据，误当成前面所有步骤都没有发生。研究中的Linux代码路径，也不宜直接扩大成公告确认的Linux受影响用户范围。

市场处置与终端恢复，是两张验收单

Cursor称，发现后立即移除了恶意版本并阻断分发，随后关闭市场、审计访问、轮换密钥、重建并恢复服务；还与托管服务商协作，让攻击服务器下线。这能限制后续分发和现有服务器连接，但设备上已落地的独立脚本、启动机制或未经授权密钥，不会因此自动消失。

企业响应应先依据安装记录和终端遥测确定候选范围，保全关键证据，再隔离有载荷或后门安装迹象的主机，由安全团队检查持久化、异常进程、SSH状态和登录记录。单个文件名、单次连接或某个标记都不是万能判断；缺少一个指标，也不能独立证明设备从未受影响。

官方建议从可信系统处理受影响设备可访问的凭据和会话，并评估是否需要重建主机。操作前仍应确认影响范围、业务依赖及恢复方式，不能在一台可能受控的电脑上换完密码，就宣布新凭据已经安全。扩展卸载、主机清理、凭据处置和恢复联网，应分别记录执行人与验收证据。

这次事件也提醒企业，开发工具的扩展不是单纯的界面装饰。它可能在开发者权限下接触源码、文件和工具链；认可一个厂商品牌，不等于可以省掉包来源、版本、分发渠道和更新记录。对于高权限开发环境，应把扩展清单纳入软件供应链与终端治理，而不是只管理模型账号。

当前公开材料仍不足以还原完整入侵起点、受影响总人数，以及每台机器是否遭到后续访问。本文不采用未经当前官方范围材料确认的人数，不传播恶意服务器地址或执行命令，也未下载样本、运行修复脚本、检查用户设备或判定本站用户已感染。

小编判断

真正需要补上的，是从“扩展版本管理”到“开发机恢复验收”的责任链。来源和时间帮助确定排查对象，主机证据决定处置强度，可信环境中的凭据与会话恢复决定能否重新交付。把这几件事分开，才能既不夸大攻击范围，也不因市场重新上线而过早结束响应。