被篡改的 Claude Code 插件和九家被攻破的平台：十月的攻击都冲着 agent 工具链去
10 月 29 日大约 11 个小时里，通过 Cursor 扩展市场安装或更新 Claude Code 插件的人，可能装上的是被篡改的版本。Cursor 说，2.1.312 和 2.1.313 两个版本在太平洋时间凌晨 2:27 到下午 1:35 前后挂在 Windows 和 macOS 上，代码试图建立持久的远程访问，受影响用户最多 5,000 人。Cursor 把整个扩展市场下线，联合服务商端掉了攻击者的服务器，要求所有人升级到 2.1.314。只卸载不够，Cursor 另外给了排查和清理步骤。
是谁放进来的，各方说法不一。Anthropic 的 Felix Rieseberg 说"这不是 Anthropic 系统或员工电脑被攻破，是一个恶意行为者利用 Cursor 市场的权限发布了篡改版"，官方渠道不受影响。独立安全公司 Phorion 的分析改了两版，对发布过程的解读不太一样。到现在两家都没说清楚权限是怎么被拿到的。没有争议的一点是：这个插件在编辑器里以开发者本人的权限运行，这正是编码 agent 好用的原因，也正是攻击者想要的东西。
第二天 Wiz 发了一篇《黑色十月》，把这件事放进了更大的背景。十月里至少九家 AI 开发平台披露了安全事件：Fireworks AI、Andromeda、Zeabur、Lightning AI、OpenCode、Railway、Warp、CommandCode 和 Northflank。Fireworks、OpenCode 和 Warp 都报告了"agent 蜂群"式攻击的迹象，共同的目标是平台里存的环境变量，尤其是 AI 的 API 密钥。Wiz 追了两把被盗的云密钥的下游去向。两把都在厂商被攻破后 30 分钟内就被拿去试用。其中一把允许走全球跨区域路由，30 小时里跑了约 80 万次模型调用，成功率约九成。另一把只限单一区域，攻击方卡了好几个小时，直到摸清哪些模型 ID 能用。Northflank 的状态页直接告诉客户："请假设所有环境变量都已泄露。"
教训很直白。agent 工具链现在值得攻击，原因有两个：它用你的权限运行，它手里握着付模型钱的钥匙。防法也很直白。插件版本要锁定、要校验，别默认信任镜像市场。模型密钥能不放在平台环境变量里就别放。每把密钥都只开你真正用到的区域和模型，Wiz 的数据里，就这一条限制，决定了是糟糕的一晚还是一笔大损失。
Cursor 公告：https://cursor.com/blog/claude-code-extension-security-notice Phorion 分析：https://phorion.io/blog/offical-claude-code-vsx-compromise/ Wiz：https://www.wiz.io/blog/black-october-for-ai-developer-platforms
← 返回所有文章
是谁放进来的，各方说法不一。Anthropic 的 Felix Rieseberg 说"这不是 Anthropic 系统或员工电脑被攻破，是一个恶意行为者利用 Cursor 市场的权限发布了篡改版"，官方渠道不受影响。独立安全公司 Phorion 的分析改了两版，对发布过程的解读不太一样。到现在两家都没说清楚权限是怎么被拿到的。没有争议的一点是：这个插件在编辑器里以开发者本人的权限运行，这正是编码 agent 好用的原因，也正是攻击者想要的东西。
第二天 Wiz 发了一篇《黑色十月》，把这件事放进了更大的背景。十月里至少九家 AI 开发平台披露了安全事件：Fireworks AI、Andromeda、Zeabur、Lightning AI、OpenCode、Railway、Warp、CommandCode 和 Northflank。Fireworks、OpenCode 和 Warp 都报告了"agent 蜂群"式攻击的迹象，共同的目标是平台里存的环境变量，尤其是 AI 的 API 密钥。Wiz 追了两把被盗的云密钥的下游去向。两把都在厂商被攻破后 30 分钟内就被拿去试用。其中一把允许走全球跨区域路由，30 小时里跑了约 80 万次模型调用，成功率约九成。另一把只限单一区域，攻击方卡了好几个小时，直到摸清哪些模型 ID 能用。Northflank 的状态页直接告诉客户："请假设所有环境变量都已泄露。"
教训很直白。agent 工具链现在值得攻击，原因有两个：它用你的权限运行，它手里握着付模型钱的钥匙。防法也很直白。插件版本要锁定、要校验，别默认信任镜像市场。模型密钥能不放在平台环境变量里就别放。每把密钥都只开你真正用到的区域和模型，Wiz 的数据里，就这一条限制，决定了是糟糕的一晚还是一笔大损失。
Cursor 公告：https://cursor.com/blog/claude-code-extension-security-notice Phorion 分析：https://phorion.io/blog/offical-claude-code-vsx-compromise/ Wiz：https://www.wiz.io/blog/black-october-for-ai-developer-platforms
评论