当开发者把 AI 助手装进编辑器时，默认信任来自“官方认证”的扩展。这次，这份信任被利用了。
发生了什么
据 Ars Technica 报道，Anthropic 在 Cursor 上的 VS Code 扩展被植入后门，带毒版本在分发渠道上存在了近 12 小时。目前仍不清楚攻击者是如何拿到 Anthropic 已验证的 Cursor 账号访问权限的。
需要说明的是，报道没有披露后门的具体行为、受影响用户规模，也没有确认是否已有实际利用。已知的事实只有两点：扩展确实被篡改并对外分发，且持续时间接近半天。
为什么重要
这起事件的要害不在 Anthropic，而在分发模型。AI 编程助手通常以 IDE 扩展形式交付，安装量动辄数十万，且运行在开发者本机，天然拥有读取代码、访问文件系统、调用网络的能力。一个被篡改的扩展，等于在开发者机器上开了一扇门。
更值得警惕的是攻击路径。Cursor 的扩展市场对“已验证账号”有一套信任机制，用户看到认证标识就会降低戒心。如果攻击者能绕过或窃取这套凭证，那么认证标识本身就从安全信号变成了攻击面。这与近年 npm、PyPI 上反复出现的供应链投毒是同一类问题：攻击者不攻破终端用户，而是攻破他们信任的上游。
AI 编程工具还有一层特殊性。这类扩展往往需要配置 API Key、访问私有代码库、甚至代理模型请求，权限边界比普通编辑器插件更宽。一旦被植入后门，泄露的不只是代码，还可能是凭证和对话内容。
影响与看点
对开发者而言，最直接的启示是：官方认证不等于安全审计。扩展的版本更新、发布者变更、权限申请变化，都值得留意；对高敏感项目，锁定扩展版本、审查其网络行为是合理做法。
对厂商而言，这次事件提出了一个尚未被认真回答的问题：当 AI 助手的核心价值建立在“深度接入开发环境”之上时，如何在不牺牲体验的前提下收紧发布链路？双因素保护发布账号、扩展签名、版本可追溯，这些在传统软件供应链里已是标配，在 AI 工具生态里却常常缺位。
目前最关键的信息缺口是入侵途径。如果只是单个账号凭证泄露，那是运营问题；如果涉及扩展市场本身的验证机制缺陷，影响面会大得多。在这一点澄清之前，把这起事件当作孤立事故为时过早。
一个独立判断：AI 编程工具的竞争已经从模型能力转向生态与分发，但安全投入明显没跟上扩张速度。这类事件不会是最后一次，区别只在于下一次发生在谁身上。
