五天两起假更新投毒：先查你的电脑有没有多一把钥匙

11 月初连续两起供应链投毒，外加一起“未经同意改配置”：Cursor 扩展市场里的 Claude Code 扩展被换了包、cPGuard 更新通道被劫持、Postman 桌面版静默给老用户装插件改配置（后两起性质不同，下文分开写）。起因线索是 V2EX 当日新帖把几件事并在一起讲，以下事实均已用一手来源与多家报道交叉核实。

Cursor 安全公告页配图

第一起：Cursor 市场里的 Claude Code 被换包

2026-10-29 美西 2:27–13:35（09:27–20:35 UTC），Cursor 扩展市场放出被篡改的 anthropic.claude-code 2.1.312 / 2.1.313，用的是真实扩展 ID；干净版 2.1.314 于次日发布。Cursor 口径：最多约 5,000 人受影响、会直接联系。npm 上的 @anthropic-ai/claude-code、Open VSX 与微软 VS Code 市场的同版本扩展均干净——只有 Cursor 自家市场受影响；Anthropic 称自身系统未被入侵、恶意包不是它开发的。

后门做了什么（微软威胁情报 + 多家拆解一致口径）：66 行 loader 藏在扩展主文件 extension.js 前面，加载即运行；收集主机名、用户名、Git 邮箱、公网 IP 与最多 40 个含 KEY / TOKEN / SECRET / PASS / AWS / GCP 字样的环境变量名（只取名字不取值）；往 ~/.ssh/authorized_keys 追加一把攻击者的 Ed25519 公钥，标注 svc-telemetry 冒充管理员账号；尝试打开本机 SSH 服务并向 134.209.82.225 开反向隧道、每 60 秒重试；持久化三平台齐上——macOS LaunchAgent com.apple.sysmond、Linux @reboot cron、Windows SysMon 计划任务。关键限定（微软原话口径）：开 SSH 需要管理员权限，多数 Mac 与 Windows 机器上扩展没有该权限，攻击者“无法通过隧道登录”——但钥匙、持久化与主机信息回传照样完成。升到 2.1.314 不等于清掉钥匙，卸载扩展也不等于清掉持久化，残留得手动清。

微软威胁情报分析页配图

自查（Cursor 公告口径）：macOS/Linux 一条命令 grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"；Windows 另查 C:\ProgramData\ssh\administrators_authorized_keys。密钥指纹 SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk。Cursor 官网提供清理脚本；另据 Phorion 提醒，loader 只认 svc-telemetry 标注——改过标注的钥匙会被纯 grep 漏掉，最好同时核对指纹。

第二起：cPGuard 更新通道被劫持

2026-11-02 02:06 UTC，攻击者用被盗凭证进入 OPSSHIELD 的更新 CDN，借 cPGuard 正常更新通道下发恶意脚本；受影响版本 5.88.12–5.88.19，02:08–03:20 UTC 之间装上更新即中招——OPSSHIELD 口径 12 小时内发现并叫停。脚本以 root 运行，取走 /etc/shadow 与 /etc/passwd、/root/.ssh 全部文件、MySQL root 配置与 root shell 历史，并装后门。规模口径要分清：OPSSHIELD 最初估计取走 32 个客户服务器的数据文件；发言人后向 BleepingComputer 称约 2,946 台服务器受影响（The Hacker News 写约 2,950），另有约 7,900 个账单账户记录被复制。修复版 5.88.25，5.88.26 再清一个残留计划任务；自查：grep 'Successfully updated' /opt/cpguard/logs/install_log，IOC 含 /var/tmp/.cpg91511* 与 /etc/cron.d/i93677。

第三起不是投毒：Postman 静默改配置

Postman issue #14370 页面

2026-10-24 起，Postman 桌面版 12.33.4 自动升级时给已有用户静默装上 Codex 插件 1.1.0 与 Claude Code 插件 2.0.1，改写 ~/.codex/config.toml 与 ~/.claude/settings.json，并用内部函数 approvePostmanHook 把自己的 hook 信任哈希直接写进信任库、绕过确认弹窗。GitHub issue #14370（10 月 25 日提交，HN 1,133 分，现已关闭）曝光后，Postman 11 月 3 日回应称“为简化配置才打包插件”，11 月 5 日称正在回撤。回撤只管以后的安装，已写进 ~/.codex 与 ~/.claude 的东西要手动删：grep -r postman ~/.claude ~/.codex。同周还有一件尾巴：HN 帖称 OpenAI 悄悄重开了 Codex 的训练开关（用户举报、未经证实，OpenAI 未回应）；已证实的只有帮助页写明 Codex 另有独立的 "Include environments" 设置，与 ChatGPT 界面开关是两处，都要查。

判断

三点校准：① 三起性质不同——前两起是真投毒（恶意代码进更新通道），Postman 是“未经同意改配置”（未证实偷数据），Codex 开关只是举报，标题与正文都别混成“三起投毒”；② 别写成“Anthropic 被黑”——Anthropic 明确未被入侵，问题只出在 Cursor 自家市场；钥匙落地 ≠ 已被登录，多数机器上攻击者进不去；③ 与第四十七批“别再问密码入库”（权限批准写文件）机制完全不同，与 Alpine OpenSSH 绕过、姜饼屋蜜罐（漏洞/防御研究）也不同类——这周的主题是：你信任的更新通道，本身就是攻击面。