Anthropic扩展被植入后门 Cursor供应链安全告急

AI编程工具的安全防线再次被撕开一道口子。据Ars Technica报道，Anthropic在Cursor平台上的官方VS Code扩展被植入后门，恶意版本在平台上存活了近12个小时。更令人不安的是，攻击者究竟如何获得Anthropic已验证的Cursor账户访问权限，目前仍无定论。

事件回顾：12小时的后门窗口

Cursor是近年来快速崛起的AI代码编辑器，基于VS Code内核构建，允许开发者安装各类扩展插件。Anthropic作为Claude系列模型的开发商，在Cursor上拥有经过平台验证的官方账户，其发布的扩展被大量开发者视为可信组件。

然而，正是这种“官方认证”的光环，成为了此次攻击的突破口。据报道，攻击者通过某种方式取得了Anthropic已验证账户的控制权，并向其扩展注入了后门代码。由于扩展带有官方验证标识，多数开发者不会对其安全性产生怀疑。恶意版本在平台上存续近12小时后才被发现和处理。

安全界有一句老话：信任是供应链攻击最好的通行证。当恶意代码披上“官方认证”的外衣，传统基于来源可信度的防御策略几乎形同虚设。

供应链攻击：AI工具的新战场

这并非AI工具首次成为供应链攻击的目标。随着AI编程助手深度嵌入开发流程，它们所接触的代码库、API密钥、企业内网权限，使其成为攻击者眼中的高价值目标。与传统的软件供应链攻击相比，AI工具的攻击面更为复杂：模型托管平台、扩展市场、账户体系、自动更新机制，每一个环节都可能成为入口。

此次事件中，“已验证账户”被攻陷尤其值得警惕。平台通常通过邮箱验证、双因素认证、组织权限管理等手段保护官方账户，但攻击者仍找到了突破口。这说明，单纯依赖账户验证机制来保障扩展安全是不够的——账户凭证可能被钓鱼、被撞库、被内部人员泄露，甚至通过第三方集成漏洞被间接获取。

12小时意味着什么

对于恶意扩展而言，12小时是一个相当长的存活窗口。在这段时间内，任何安装或更新该扩展的开发者都可能中招。后门的具体功能尚不清楚，但常见的手法包括窃取环境变量中的API密钥、读取本地代码仓库、注入恶意依赖，甚至建立远程命令执行通道。

更棘手的是，这类攻击往往具有滞后性。开发者在安装扩展时难以察觉异常，恶意行为可能在后台静默运行，直到安全团队通过异常流量或代码审计才发现端倪。对于使用Cursor进行企业级开发的团队来说，这12小时足以造成敏感信息泄露。

AI编程工具的安全困局

Cursor、GitHub Copilot、通义灵码等AI编程工具的普及，正在重塑软件开发的工作流。但安全治理的步伐明显滞后。扩展市场的审核机制、官方账户的权限隔离、自动更新的签名验证，这些环节的薄弱点正在被攻击者逐一利用。

此次事件还暴露了一个结构性矛盾：AI工具追求“开箱即用”的流畅体验，往往简化安装和更新流程；而安全要求则倾向于增加验证环节、延迟更新、人工审核。如何在两者之间取得平衡，是平台方必须回答的问题。

开发者该如何应对

对于一线开发者而言，这起事件提供了几条现实建议：其一，对“官方认证”保持理性信任，及时关注平台的安全公告；其二，在敏感项目中锁定扩展版本，避免自动更新带来的不确定性；其三，定期审计已安装扩展的权限和网络行为；其四，将API密钥等敏感信息与开发环境隔离，降低泄露后的影响面。

对于平台方，Anthropic和Cursor需要尽快公布事件调查结果，说明攻击路径和影响范围。透明度不仅关乎用户信任，也是供应链安全治理的基础。

编者按

这起事件的核心问题不是“Anthropic会不会写安全的代码”，而是“当官方账户本身被攻陷时，整个信任链条如何自处”。AI编程工具正以前所未有的速度渗透进开发者的日常工作，其供应链安全却仍停留在“打补丁”的阶段。12小时的后门窗口或许只是冰山一角。行业需要从账户安全、扩展签名、行为监控、应急响应等多个维度重建防御体系，而不是等到下一次攻击发生后才追悔莫及。

本文编译自Ars Technica