北京时间2026年10月31日，Cursor仍在处理其VS Code扩展市场的供应链安全事件。公司在10月30日太平洋时间上午11时30分更新官方公告，补充失陷指标并把受影响版本明确为Anthropic.claude-code 2.1.312和2.1.313。公告称，这两个经过恶意修改的版本由Cursor市场向macOS和Windows用户提供，并非Anthropic开发；目前公布的范围没有涵盖Anthropic官方分发渠道。
分发窗口与数据收集范围
Cursor称，恶意版本在10月29日太平洋时间凌晨2时27分至下午1时35分之间可供安装或更新，持续约11小时8分钟。官方把处置对象限定为从Cursor扩展市场取得上述两个版本的macOS和Windows设备。公告没有把其他Claude Code版本、其他市场扩展或Anthropic官方版本列入影响范围，也没有说明同一软件是否曾通过别的第三方渠道出现，目前公开信息不能据此扩大分发边界。
按照Cursor公告，恶意代码会收集并发送主机名、用户名、操作系统、处理器架构、用户主目录路径、环境变量名称、工作目录、Git配置邮箱和公网IP地址。公告列出的是环境与主机识别信息，没有公布已发送记录的规模、持续时长或接收端实际保存情况，也没有确认每一台安装设备都完成了全部收集动作。报道不能把代码具备的行为、一次安装暴露和已经确认的数据外传结果混为同一事实。
SSH路径与实际执行边界
Cursor还称，代码会尝试把攻击者控制的SSH公钥追加到授权密钥文件，启用本地SSH服务，并建立反向SSH隧道。持久化部分在macOS上使用LaunchAgent，在Windows上尝试以系统权限创建计划任务，失败时再使用启动脚本；后台脚本约每60秒重试隧道。公告同时提供两个版本在不同系统上的文件哈希、进程、网络和密钥指标，但本文不复制可执行清理代码或完整攻击材料。
这些动作的结果需要分开表述。Cursor说，启用本地SSH服务通常需要管理员权限，恶意代码本身也存在错误，因此在Cursor没有以管理员权限运行的大多数macOS和Windows设备上，这一步会失败，攻击者不能通过相应隧道登录。不过公司同时称，扩展仍可能写入攻击者公钥、安装持久化组件并发送主机信息。前一项失败不能改写成整个恶意包没有执行，也不能反推每台设备都已被远程控制。
平台处置与用户清理步骤
Cursor表示，发现事件后已从市场移除恶意版本并阻止继续分发，随后出于谨慎关闭整个扩展市场。公司称其审计了访问记录，没有发现其他扩展遭篡改；之后轮换自身密钥、重建市场并恢复上线。Cursor还称，它与托管商合作使攻击者服务器下线，因此官方所列反向外壳和主机信息提交端点现已不可用。这些处置状态均来自Cursor公告，并非独立安全审计结论。
对在指定时段从Cursor市场安装或更新两个版本的用户，官方要求先运行其检查工具，再核对端点、网络和扩展安装遥测，并隔离出现载荷执行或后门迹象的主机。若发现相关痕迹，处置范围包括删除未授权SSH密钥、持久化机制和隧道进程，并评估是否重建主机；可从受信任设备轮换受影响主机能够访问的凭据与会话。Cursor特别说明，仅卸载扩展可能不足以清除独立运行的持久化脚本。
媒体核对与尚未确认事项
Ars Technica公开信息流在2026年10月30日21时09分54秒记录了同一事件，标题把风险概括为Cursor上的Anthropic VS Code扩展近12小时存在后门。其短摘要只补充了一项边界：攻击者如何取得Anthropic在Cursor市场的已验证账户访问权仍不清楚。该条目与官方公告对分发渠道和持续时间的描述相互对应，本文未使用其文章正文、图片，也没有把标题与短摘要之外的细节归给该媒体。
当前材料仍有多项缺口。Cursor没有在本次采用的英文公告中公布确认受影响的用户数量，也没有披露攻击者身份、已验证账户的进入方式、每台安装设备的实际执行结果或已完成的凭据访问范围。旧的部分本地化公告曾只列2.1.313，当前英文公告在10月30日更新后列出2.1.312和2.1.313，因此本文采用后者并保留版本列表曾被澄清的过程。现有证据只支持特定市场、系统、版本和时段，不能扩写为整个Claude Code生态失陷。