SpaceX(SPCX.US)旗下Cursor遭恶意扩展入侵！5000名用户面临风险，AI编程平台敲响安全警钟

（原标题：SpaceX(SPCX.US)旗下Cursor遭恶意扩展入侵！5000名用户面临风险，AI编程平台敲响安全警钟）

智通财经APP获悉，SpaceX(SPCX.US)旗下AI编程工具Cursor周五披露一起安全事件：一个经过恶意篡改的Claude Code扩展在其VS Code扩展市场上线约11小时，最多可能影响5000名用户。该恶意版本试图收集用户主机名、用户名、操作系统和公网IP等信息，并通过植入SSH密钥、建立远程访问通道等方式获取对受影响设备的持续访问权限。

Cursor表示，涉事扩展并非由Anthropic开发，恶意版本于太平洋时间周四凌晨2:27至下午1:35期间在其市场上线。发现问题后，Cursor立即移除了恶意版本并阻止其继续分发，同时关闭扩展市场进行全面审查，随后重建市场并恢复服务。该公司称，目前没有证据显示其他扩展受到篡改。

这起事件的直接影响范围看似有限，但对Cursor而言，其意义不只是一次扩展市场安全事故。作为SpaceX旗下的AI软件业务，Cursor正试图在竞争日益激烈的AI编程市场中扩大企业客户规模。随着AI编程工具从代码补全走向能够自主执行任务的智能代理，开发环境逐渐成为企业核心数据和系统权限的入口，平台能否确保扩展生态安全，正在成为影响商业化前景的重要因素。

恶意扩展瞄准开发者设备：管理员权限不足不代表没有风险

根据Cursor公布的安全公告，涉事扩展为Anthropic.claude-code 2.1.313版本。恶意代码被插入扩展的JavaScript程序中，在扩展启动后尝试收集设备和用户信息，包括主机名、用户名、操作系统、CPU架构、工作目录、Git邮箱配置以及公网IP地址等。

更值得警惕的是，该恶意代码还试图向用户的SSH授权密钥文件中添加攻击者控制的公钥，开启本地SSH服务，并建立反向SSH隧道，从而为攻击者远程访问设备创造条件。与此同时，恶意程序还试图通过macOS的LaunchAgent或Windows计划任务等机制建立持久化运行能力，使相关程序在扩展被关闭后仍可能继续运行。

Cursor表示，开启本地SSH服务需要管理员权限，而恶意扩展通常不具备这一权限，因此在大多数macOS和Windows设备上，建立远程访问通道的关键步骤会失败。不过，这并不意味着设备完全没有受到影响。Cursor特别提醒，恶意代码仍可能添加未经授权的SSH密钥、安装持久化脚本并发送设备信息，因此仅仅卸载扩展并不足以确保安全。

Cursor已与相关云服务提供商合作，使攻击者使用的服务器下线，并公布了针对macOS和Windows设备的检查及修复方案。对于在上述时间窗口内安装或更新过该版本扩展的用户，公司建议检查SSH授权密钥和持久化文件，必要时隔离设备、清除恶意程序，并从可信设备更换可能受到影响的凭证。

从事件处置来看，Cursor采取了下架恶意版本、关闭市场、轮换密钥和重建市场等措施，但事件仍暴露出一个值得关注的问题：当AI编程平台同时承担扩展分发和开发环境管理职能时，第三方代码进入用户设备的审核机制是否足够严格?

SpaceX旗下AI编程业务面临考验：平台信任比增长故事更重要

这起事件发生之际，Cursor正处于AI编程工具竞争格局快速变化的阶段。

2026年，Anthropic旗下Claude Code迅速扩大开发者群体，Cursor则继续依靠多模型支持、代码库索引和Agent工作流争夺专业开发者及企业客户。SpaceX此前宣布收购Cursor母公司Anysphere，交易规模约600亿美元，进一步凸显AI编程工具在其软件业务版图中的战略地位。路透社周五报道称，Cursor目前已是SpaceX旗下的编程工具业务。

对于SpaceX而言，Cursor的价值不只是一个AI应用产品，还涉及开发者生态、企业软件市场以及未来AI代理工作流的入口。AI编程工具若要从个人开发者市场走向企业级应用，除了模型性能和代码生成效率，还必须满足企业对数据保护、访问控制、软件供应链和合规治理的要求。

此次事件中，恶意代码并非来自Anthropic官方，而是通过Cursor自己的扩展市场进入用户设备。换言之，问题并不在于Claude Code本身存在漏洞，而在于第三方扩展分发渠道出现了被篡改的版本。

这一区别对平台责任尤为重要。Cursor虽然不是恶意代码的开发者，却是扩展市场的运营方。对于企业客户而言，用户通常不会逐一审查每个扩展的代码来源和执行权限，而是依赖平台提供的审核、签名、分发和更新机制。一旦平台成为恶意软件进入开发环境的渠道，即使问题最终得到控制，也会增加企业重新评估其安全能力的压力。

尤其是在SpaceX收购Cursor之后，市场对这项业务的期待已不再局限于用户增长和收入扩张。随着其逐步承担更大规模的企业开发工作流，平台安全事件可能影响客户采购决策、企业部署速度以及长期商业化能力。此次最多涉及5000名用户的事件尚不足以说明Cursor的企业业务受到实质性冲击，但它提醒市场：AI编程平台的竞争正在从“谁能写出更好的代码”，延伸至“谁能更安全地管理代码和开发环境”。

AI代理扩大攻击面：软件供应链安全成为网安行业新战场

Cursor事件并非孤立现象，而是AI编程工具能力扩张与传统软件供应链安全机制之间矛盾的一个缩影。

传统软件供应链攻击通常通过恶意开源组件、被篡改的软件包、第三方依赖库或开发工具实施。攻击者不一定需要直接攻破企业核心系统，只要能够污染开发者使用的软件组件，就有机会借助开发者本身的权限进入企业环境。

AI编程代理进一步扩大了这一风险边界。与传统代码补全工具不同，Claude Code、Cursor Agent以及GitHub Copilot等工具能够在开发者授权下读取项目文件、执行终端命令、调用外部工具并操作代码仓库。随着MCP服务器、Agent Skills和第三方扩展逐渐成为开发流程的一部分，开发者安装的组件不仅可能影响代码质量，也可能直接获得访问本地文件、环境变量和企业系统的能力。

这意味着，恶意扩展一旦进入开发环境，其潜在影响可能远超普通浏览器插件或编辑器主题。对于拥有云服务访问权限、代码仓库写入权限或部署凭证的开发者设备而言，攻击者可能借助这些权限进一步扩大影响范围。

安全研究机构和网络安全厂商已经开始将这一问题视为新的市场机会。Gartner于2026年发布的软件供应链安全魔力象限报告，将第三方软件风险、开源组件及第三方AI纳入软件供应链安全市场的讨论范围，并列出Chainguard、Checkmarx、GitHub、JFrog、Sonatype、Veracode等相关厂商。

网络安全巨头也在加快布局。CrowdStrike于今年9月推出实时软件供应链攻击防护能力，重点是在恶意开源软件包执行之前，通过终端安全平台进行识别和拦截。Palo Alto Networks则推出面向AI编程的安全方案，覆盖AI代理识别、供应链风险评估、代理身份与操作权限管理等环节。

这些布局反映出网络安全行业正在出现新的需求：安全防护对象不再局限于传统服务器、终端和网络流量，还需要覆盖AI代理使用的工具、第三方组件、开发者身份以及自动化执行行为。

对相关厂商而言，AI编程工具的普及可能扩大软件供应链安全、终端防护、身份管理和云安全产品的需求。不过，这一趋势能否转化为实际收入增长，仍取决于企业安全预算、产品部署效果以及厂商之间的竞争。

AI编程工具竞争进入下半场：安全能力将影响企业客户选择

从更长远的角度看，Cursor此次事件暴露的并不只是扩展市场审核机制的问题，而是整个AI编程生态正在面对的安全治理挑战。

当AI工具仅承担代码建议和自动补全任务时，其潜在权限相对有限;但当AI代理开始自主读取文件、执行命令、调用外部服务并参与部署流程时，开发者实际上是在将更多系统权限交给AI工具及其所连接的第三方组件。

这也使得安全问题从传统的代码漏洞检测，扩展至工具权限管理、身份认证、运行环境隔离、软件包来源验证以及操作行为审计等多个层面。企业需要的不只是能够生成代码的AI模型，还需要能够限制代理行为、追踪数据访问并确保第三方依赖可信的完整体系。

对于SpaceX旗下的Cursor而言，此次事件的直接损失尚难以量化，但其对平台信任的考验已经显现。Cursor迅速下架恶意扩展并重建市场，说明其具备一定的事件响应能力;然而，企业客户最终更关注的，是平台能否建立一套持续有效的安全审核与权限治理机制，避免类似问题反复发生。

AI编程工具的竞争正在从模型能力、产品体验和算力资源，延伸至平台可靠性。随着越来越多企业将核心开发工作流交给AI代理，安全不再只是事故发生后的补救成本，而可能成为决定平台能否进入企业市场、能否维持客户信任以及能否支撑长期估值的重要因素。