一个插件藏了 11 小时，约 5000 名开发者下载过

Cursor 插件商城 10 月 29 日上线一个被篡改的 Claude Code 扩展，持续约 11 小时、最多约 5000 名开发者下载，恶意代码试图安装 SSH 后门。同期 MUJI 约 2726 万条客户信息外泄。

据 IT 之家 10 月 31 日报道，AI 编程工具 Cursor 的插件商城在 10 月 29 日上线了一个被篡改的 Claude Code（AI 编程助手）扩展，持续约 11 小时，最多可能有 5000 名开发者下载。Cursor 已确认，恶意代码试图在开发者设备上安装持久性 SSH（远程登录协议）后门。一个插件，为什么能碰到开发者的服务器？

据 IT 之家援引安全媒体 BleepingComputer 报道，恶意版本编号为 2.1.313，在太平洋时间 10 月 29 日凌晨 2:27 至下午 1:35 分发，对应北京时间 10 月 29 日 17:27 至 30 日凌晨 4:35。攻击者没改原有功能，只在扩展的 extension.js 文件开头插入恶意 JavaScript 加载器；开发者安装后，代码自动运行，不需要和 Claude Code 交互。

它拿什么、做什么？报道称，恶意程序收集用户名、主机名、公网 IP、Git（代码版本管理）邮箱和敏感凭据相关的环境变量名称，发往攻击者服务器；再添加 SSH 密钥、建立反向隧道，并通过 macOS 启动代理或 Windows 计划任务持久化。代码在 SSH 配置上有错误：macOS 未以管理员权限检查，Windows 错误调用 Unix shell，许多设备可能未能成功远控。

Cursor 处置：下架恶意扩展，临时关闭整个扩展市场审查其他插件，轮换访问密钥，协同托管服务商关闭攻击者服务器；公司称未发现其他扩展版本或官方分发渠道受影响，但尚未说明攻击者如何以 Anthropic 名义发布被篡改的软件包。已确认“有恶意版本、有下载、有后门代码”，尚未确认“有多少设备真的被控制”。

同期两起事件说明入口不止一个。据 IT 之家 10 月 30 日援引共同社报道，良品计划公司通报 MUJI（无印良品）APP 遭非法访问，约 2726 万条客户信息外泄，涉及邮箱、出生日期和性别，不含信用卡、姓名和住址。日本情报通信研究机构指出，近期泄露至少部分与“A2B”（应用到后端）攻击有关：攻击者分析公开的安卓应用，找到服务器和 API，再针对性攻击。

手机这边也有一个已修复、推送不齐的漏洞。据 IT 之家 10 月 30 日报道，安全研究人员 Mark Blaschczyk 发现安卓“死亡短信”零点击拒绝服务漏洞：特制短信利用 WAP Push 长度校验不足，让通话进程崩溃；一条短信就可能卡顿 1 至 2 秒或断开通话，运营商反复重发时故障可持续，实验中长达一周，约 20 条即可让部分手机长时间不可用。Google（谷歌）已在 6 月修复，并纳入 10 月安卓 14 至 17 安全更新，但各厂商推送时间不一。

三件事的共同点：信任边界变了。过去装软件，用户面对一个应用商店；现在用 AI 编程，开发者面对模型、插件、扩展、API 密钥组成的一条链。插件拿的是开发者权限，能看到代码、环境变量、云账号；插件市场审核不严，恶意代码不用攻击模型，只要搭上工作流，就能摸到后端。MUJI 的 A2B 攻击是另一端：公开的 App 就是攻击者的地图。安卓漏洞更直接，入口是一条短信。

旅驼认为，AI 工具链的安全短板不在模型会不会写坏代码，而在开发者愿不愿意把插件市场当成生产环境；一个扩展的权限，往往比一个模型大得多。

边界要写清。5000 是“最多可能下载”的上限，不是已确认被控制的设备数；Cursor 称没有其他版本或官方渠道受影响，这是公司口径，独立取证尚未公开。MUJI 的 2726 万条是公司通报；没有信用卡、姓名、住址，不等于没有风险，邮箱、生日、性别足够做精准钓鱼。安卓漏洞已进入 10 月更新，但不同厂商、机型能否收到补丁是另一回事；“一周中断”是特定条件，不是所有手机都会出现。不能把三起事件都归因于 AI。

开发者能做三件事：装插件前看发布者、版本号和权限，能不用的市场先不用；把云账号、代码仓库令牌改成最小权限并定期轮换；独立环境跑插件，不要放在有生产凭据的机器上。用户这边，MUJI 客户收到“订单异常”“账号验证”邮件先别点链接，安卓用户尽快检查更新。企业该问：插件清单谁维护，离职员工的令牌谁回收，出事能不能在 11 小时内定位。