Claude Code扩展被投毒：Cursor用户必查与清理指南

Anthropic 官方 Claude Code 扩展在 Cursor 插件市场遭遇供应链投毒，被篡改的 2.1.312 与 2.1.313 版本已上架。本文整理一行命令自查方法、载荷行为分析，以及需要立即调整的配置项。

事件概述：官方扩展被篡改上架

据安全通告，被篡改的 Anthropic.claude-code 扩展版本 2.1.312 和 2.1.313 已进入 Cursor Marketplace。这两个版本并非来自正常的发布流程，而是经过第三方修改后被推送到插件市场的恶意构建。

Cursor 的扩展生态沿用 VS Code 的插件机制，开发者对「官方命名空间」的扩展通常缺乏戒心——这恰恰是本次事件的风险所在。攻击者利用的是信任链而非技术漏洞：扩展名、发布者标识看起来都像正品，普通用户很难在安装前分辨真伪。

目前披露的信息集中在三个问题：如何用一行命令确认自己是否中招、被植入的载荷具体做什么、以及清理后需要改哪些配置。

供应链投毒（Supply Chain Poisoning） 是指攻击者不直接攻击目标系统，而是入侵或伪造目标所依赖的软件组件（如库、插件、构建产物），借助下游用户的信任将恶意代码「顺带」植入。在插件市场场景中，常见手法包括：冒用官方发布者命名空间上传同名扩展、劫持正常发布流程后推送篡改构建、或通过依赖项间接引入恶意代码。这类攻击的破坏力在于它绕过了用户对「官方来源」的天然信任，受害者往往在毫无异常感知的情况下完成安装。

一行命令自查：确认是否安装了问题版本

排查的核心是检查本地已安装的 Claude Code 扩展版本号。在 Cursor 中打开扩展面板，定位到 Anthropic.claude-code，查看其版本标识是否落在 2.1.312 或 2.1.313 上。

对于习惯命令行的用户，可以直接检查扩展安装目录下的 package.json，读取其中的 version 字段。原文强调这是一项「一行检查」——意味着排查成本极低，任何使用 Cursor 的开发者都应该在继续工作前完成这一步。

需要注意的是，仅仅「没印象装过」并不等于安全。Cursor 的扩展可能随配置同步、团队模板或历史安装记录被带入，建议以实际版本号为准，而不是凭记忆判断。

载荷行为：被篡改版本做了什么

原始素材对载荷的描述较为克制，只说明这两个版本经过篡改并携带恶意载荷，未展开具体的网络回连地址或窃取目标。从供应链投毒的常见模式推断，此类扩展的典型诉求包括读取工作区文件、获取环境变量中的凭据，或劫持开发者的 AI 调用流量。

这里需要如实说明：关于载荷的具体技术细节，当前公开信息有限。在官方或独立安全研究给出完整的 IOC（入侵指标）之前，不建议基于猜测做过度解读。但可以确定的是，一个能读取项目上下文的 AI 编程扩展一旦被控，其可见范围远超普通插件——它天然接触源码、配置和密钥文件。

IOC（Indicator of Compromise，入侵指标） 是安全事件中用于判断系统是否被入侵的可观测痕迹，通常包括恶意文件的哈希值、回连的域名或 IP、异常注册表项、特定进程行为等。在供应链投毒事件中，完整的 IOC 列表是下游用户做主动扫描与威胁狩猎的关键依据。官方或独立安全研究发布 IOC 之前，用户只能依赖版本号做粗粒度排查，无法确认是否存在残留持久化机制。这也是本文强调「不基于猜测过度解读」的原因——缺乏 IOC 时，过度推断容易造成误判与不必要的恐慌。

清理与加固：需要立即调整的配置

确认中招后的处理路径相对明确：从 Cursor 中卸载问题版本的 Claude Code 扩展，清除本地扩展缓存目录，然后从可信来源重新安装。如果扩展曾在登录状态下运行，应同步轮换在该环境中暴露过的 API Key 与访问令牌。

配置层面，原文提示「what to change」，指向的是扩展来源与自动更新策略。务实的三条建议：

• 锁定可信来源：优先通过官方渠道获取扩展，对市场中的同名扩展核对发布者身份。
• 收紧自动更新：对涉及代码读取与环境访问的扩展，关闭静默自动升级，改为手动确认版本变更。
• 隔离敏感凭据：不要把长期有效的生产密钥放在 IDE 扩展可直接读取的环境变量里，改用短期凭据或独立的开发沙箱。

API Key 轮换（Key Rotation） 是指在凭据可能泄露后，作废旧密钥并签发新密钥的过程。判断是否需要轮换的关键是「暴露面」：如果被篡改的扩展在登录状态下运行过，它理论上可读取该 IDE 进程可见的所有环境变量与配置文件，其中可能包含模型 API Key、云厂商访问令牌、Git 凭据等。轮换时应优先处理权限高、有效期长的凭据，并检查相关服务的安全日志是否存在异常调用。仅卸载扩展而不轮换密钥，等于把已泄露的凭据继续留在攻击者手中。

对 AI 编程工具生态的启示

这起事件的价值不只在一次清理。AI 编程助手正在成为开发者的「第二双手」，它被授予的权限——读代码、执行命令、访问网络——本质上是一个高权限代理。而插件市场的审核强度，往往跟不上这类扩展的实际权限增长。

对个人开发者而言，结论是降低对「官方命名空间」的盲信，把扩展当成需要审计的依赖来对待。对团队而言，值得把 IDE 扩展纳入依赖清单管理，像审查 npm 包一样审查它们的版本与来源。供应链安全的老问题，在 AI 工具链上只是换了个入口重新出现。

---

快速行动清单：检查 Anthropic.claude-code 版本是否为 2.1.312 / 2.1.313 → 中招则卸载并清缓存 → 轮换暴露过的密钥 → 关闭敏感扩展的自动更新。