据多家媒体报道，Anthropic 旗下一款面向 Claude 模型的官方扩展在 Cursor 插件市场遭到篡改并被植入后门，恶意版本 2.1.313 上线近 12 小时，可能影响多达 5000 名开发者的机器。该扩展本质上是一个 VS Code 扩展，通过 Cursor 的插件市场分发。Cursor 是一家提供 AI 辅助开发工具的公司，其市场是众多开发者获取编程插件的常用渠道。事件曝光后，Anthropic 已推送修复版本 2.1.314，但截至目前尚未就此事向客户发出正式警示。
根据独立安全研究员 Kevin Beaumont 以及安全公司 Phorian 首席技术官兼联合创始人 Luke Roberts 的说法，恶意版本 2.1.313 是通过 Anthropic 在 Cursor 上的官方账号分发的。这意味着攻击者并非伪造了一个山寨插件，而是直接攻破了官方发布渠道，属于典型的供应链攻击。Roberts 对媒体表示，这是一次“供应链失陷”，攻击者获得了官方分发渠道的访问权限，随后将恶意版本发布到官方账号下。目前，Cursor 和 Anthropic 均未解释攻击者究竟如何取得该账号的控制权。恶意版本在 Cursor 市场上架数小时后，Anthropic 才发布 2.1.314 版本进行替换。
从影响范围看，最多约 5000 名用户受到影响，这些人可能是在恶意版本上线期间主动下载了该扩展，或者其开发环境在自动更新时拉取并安装了被篡改的版本。对于开发者群体而言，这类风险尤为敏感：AI 编程工具通常需要访问代码仓库、云凭证和本地开发环境，一旦扩展被植入后门，攻击者可能借此窃取敏感信息，甚至进一步渗透企业内网。报道提到，攻击者的目标之一可能是云凭证，这进一步放大了事件的安全含义。
这起事件暴露出 AI 编程工具生态中一个被忽视的薄弱环节：官方账号与插件市场之间的信任链条。开发者往往默认“官方发布”即等于“安全可信”，但此次攻击说明，只要分发账号被攻破，恶意代码就能以官方名义触达大量用户。更值得关注的是 Anthropic 在事发后的沟通态度——在恶意版本上线近 12 小时后才推送修复，且尚未主动向客户发出警示，这可能延误开发者的自查与止损。对于依赖 AI 辅助编程的团队来说，此事提醒企业应加强对插件来源、版本变更和自动更新的审计，并建立对官方渠道失陷的应急响应预案。
