官方插件也会被投毒。10 月 29 日，一个挂着官方 ID、版本号正常的编辑器插件更新，在 11 小时内给开发机写入 SSH 公钥并安装持久化后门。本文拆解触发路径，并给出「隔离、清入口、封出口、换凭据」的处置顺序，以及企业侧终端软件来源、更新窗口、凭据盘点的具体做法。

上海企业研发终端被投毒：官方插件也会带后门，自动更新该怎么管

上海威丽信息科技 · 2500+企业见证 · IT服务外包专家
上海本地化服务商｜ IT服务外包托管｜ 10分钟极速响应·2小时现场服务

上海张江、漕河泾一带的研发型企业，几乎每台开发机上都装着十来个编辑器插件：代码补全、Git 辅助、接口调试、AI 助手。装插件这事早就没人审了，默认勾着自动更新。10 月 29 日的一起事件说明，这条路可以被走通——一个挂着官方 ID、版本号正常的更新，在 11 个小时里给一批开发机写入了别人的 SSH 公钥。

结论前置：终端软件的"官方发布者"不是安全边界。企业要管的不是"装不装插件"，而是"谁能往终端推代码"；来源白名单、更新延迟窗口、凭据盘点三件事做到位，这类事件才伤不到你。

一、这次到底发生了什么

受影响的包是 Anthropic 官方 Claude Code 扩展，ID 为 anthropic.claude-code，恶意版本号 2.1.313，经 Cursor 的插件市场以合法发布者身份推送。
分发窗口为太平洋时间 10 月 29 日 2:27 至 13:35，约 11 小时；Cursor 公告称受影响用户"至多 5000 名"，并临时下线了市场。
恶意代码是插在正常 JS 包前面的 66 行加载器，在 VS Code 启动和扩展侧边栏打开时激活。
激活后做的事：往 ~/.ssh/authorized_keys 写入一把标注为 svc-telemetry 的公钥，尝试拉起本机 SSH 服务，向境外地址建立反向隧道，并安装计划任务、crontab 或 LaunchAgent 做持久化。
回传内容不止主机信息：公网 IP、主机名与用户名、系统与 CPU 架构、家目录与当前目录、Git 全局邮箱，以及最多 40 个名字里带 KEY、TOKEN、SECRET、PASS、AWS、GCP 的环境变量名，走明文 HTTP 发到 8099 端口的 beacon。
修复版 2.1.314 已同步到 Open VSX 与微软官方市场；按现有信息，只有 Cursor 市场这一个渠道被污染。

图1：从插件自动更新到持久化后门的触发路径

二、三个反常识

1. 签名和发布者都对，仍然可能是假的

这次不是仿冒包，是攻击者拿到了合法发布身份，在同一个扩展 ID 下推了一个正常递增的版本号。终端上"看起来是官方"的几项判断依据——发布者名称、包 ID、版本号——在这里全部失效。

解决思路：把"可信"从身份判断换成流程判断。企业侧建立终端软件白名单，插件、运行时、命令行工具只走内部源或指定渠道；非白名单软件走申请，安装包留存哈希。

2. 环境变量的"名字"就是情报

报告提到，首次回传只发变量名、不发值。但变量名本身已经说明这家企业用哪家云、接了哪套 CI、有哪些凭据类型，等于把攻击面清单递了出去。SSH 通道一旦打通，值只是顺手的事。

解决思路：把凭据从环境变量迁到密钥管理服务，终端本地只留短期令牌；开发机不存长期云密钥，需要时按需申请、用完回收。

3. 权限不够，也一样留下入口

多数 macOS 和 Windows 主机上拉起 SSH 服务需要管理员权限，这一步常失败，Cursor 也在公告里强调了这点。但公钥已经写进去、持久化已经装上、回传已经发出。等哪天权限放宽或用户手工开了远程登录，通道立刻可用。

解决思路：事件响应不能只查"有没有成功"，要按"已经发生的动作"清理——删公钥、拆持久化项、封出口、换凭据，四步一步都不能省。

三、企业侧最容易漏的四件事

1. 把插件市场的审核当成自己的审核

市场方审的是上架那一刻，攻击者利用的是更新通道。解决思路：给自己设一个更新延迟窗口，新版本发布后 24 至 72 小时再放行，让社区和厂商先暴露问题；安全类工具走快速通道。

2. 开发机不在资产台账里

服务器有台账，笔记本和开发机往往只有一张采购表。解决思路：把开发机按"持有凭据的终端"单独建账，记录上面存了哪些仓库权限、云密钥、数据库连接，每季度核一次。

3. 出向流量只看服务器

反向隧道和 beacon 都是终端发起、方向朝外。解决思路：对终端做出向基线，重点看非常规高位端口的持续外联、明文 HTTP 的定时回连，以及与已知恶意地址的通信。

四、两种终端软件管理方式的差别

对比维度	放开自动更新	白名单 + 延迟窗口 + 凭据治理
恶意更新到达终端	数小时内	需人工放行
版本滞后代价	无	平均延迟 1–3 天
凭据暴露面	取决于个人习惯	可盘点、可回收
事件后处置	逐台确认，靠人记	按台账批量定位
适用规模	十人以下小团队	有研发、有合规要求的企业

五、我们在这类场景里做什么

终端与开发机纳管：设备台账、软件白名单、更新策略与放行审批。
凭据治理：云密钥与仓库权限盘点、密钥管理服务落地、离职转岗回收流程。
出向流量监控：终端出向基线、异常回连告警、与既有监控平台对接。
内网与出口加固：防火墙策略梳理、远程登录端口收口、堡垒机接入。
应急响应：可疑进程与持久化项排查、日志回溯、按厂商指引完成清理与验证。

六、选型与避坑

误区一：认为只装官方市场的插件就安全。这次恶意包就在官方市场里，用的还是真实发布者身份。
误区二：把开发机当个人电脑。它通常同时握着代码仓库、云账号和数据库三类权限，价值高于多数办公终端。
误区三：只做一次性排查。一周前 OVHcloud 官方 CLI 的五个已发布版本二进制被替换，这条路径正在被反复使用。
建议：把"终端软件来源、开发机凭据、出向异常"做成季度例行检查项，而不是等通报。

七、常见问题

Q1：我们没用 Cursor，需要管这件事吗？

A：本次只影响 Cursor 市场这一个渠道。但"官方插件带后门"是通用风险，建议对所有编辑器与 IDE 的扩展来源做一次盘点，这是上海IT运维服务里成本最低的一次加固。

Q2：卸载插件是不是就干净了？

A：不够。卸载只删扩展本身，公钥、计划任务、crontab、LaunchAgent 都会留在系统里，要按清理清单逐项确认。

Q3：开发机需要重装系统吗？

A：无法确认清理结果的，重装最稳；能确认公钥已删、持久化已清、凭据已轮换的，可保留但要在两周内复查一次出向流量。

Q4：响应和到场怎么保障？

A：上海威丽信息科技提供 10 分钟极速响应、2 小时现场服务，终端排查与凭据轮换可安排在非工作时段执行。

Q5：一年大概什么投入？

A：取决于终端数量、是否需要白名单与密钥管理平台落地，通常按设备规模与巡检频次组合计价，可按现场勘查出方案。

八、总结

终端安全的老假设是"内部软件可信、外部软件可疑"。这次事件把这条线抹掉了：可信与否不取决于谁发布的，取决于它经过了谁的审批、能碰到哪些凭据、出网时有没有人看着。

一句话复述：先确认哪些机器在窗口内更新过，再按"清公钥、拆持久化、封出口、换凭据"的顺序处置，最后把来源白名单和更新延迟窗口补上。

上海威丽信息科技有限公司深耕上海本地企业 IT 服务近 20 年，累计服务 2500+ 家企业，提供终端纳管、凭据治理、内网与出口加固及弱电网络一体化服务，帮助研发型企业把开发效率留住，把终端这个薄弱环节补上。

服务热线：400-880-7581 ｜技术服务热线：021-51697581-605/610 ｜官网：https://www.vilitech.com

数据来源

Cursor 官方安全公告（2026-10-29，https://cursor.com/blog/claude-code-extension-security-notice）；OpenSourceMalware 事件分析（2026-10-30）；The Hacker News《Official Claude Code Extension on Cursor Marketplace Trojanized with Persistent SSH Backdoor》（2026-10-30，https://thehackernews.com/2026/10/official-claude-code-vs-code-extension.html）。