一个伪装成 Claude Code 的扩展在 Cursor 插件市场上存活了约 11 小时，期间试图窃取用户数据并植入远程访问能力。这不是一次普通的恶意插件事件，而是 AI 编程工具生态第一次以如此直接的方式暴露供应链风险。
发生了什么
据 The Decoder 报道，Cursor 插件市场上出现了一个被篡改的 Claude Code 扩展。它在上架后约 11 小时内处于可下载状态，影响范围最多达 5000 名用户。该扩展的行为包括尝试窃取用户数据，以及为攻击者建立远程访问通道。
Cursor 的处置方式是先下线整个插件市场，在确认不存在进一步风险后重新恢复。这一动作说明平台方无法在短时间内精确定位并隔离单个问题插件，只能采取“全量熔断”的保守策略。
为什么重要
AI 编程工具过去一年的竞争焦点集中在模型能力和补全质量上，插件市场则是新近才被认真对待的分发渠道。Cursor 引入插件市场，本质上是把 IDE 从单一产品变成平台，让第三方扩展接入编辑器、模型调用和本地文件系统。
问题在于，这类扩展天然拥有极高权限：它们能读取代码库、访问终端、调用模型 API，甚至代表用户执行命令。一个恶意扩展拿到的不是某个网页的 cookie，而是开发者整台机器上的工程上下文。Claude Code 本身是 Anthropic 的官方命令行编程代理，知名度高、信任度高，恰好成为最容易被冒名顶替的对象。
更值得警惕的是审核机制。11 小时的窗口不算长，但对于一个拥有自动更新能力的扩展来说，足够完成一轮投递。平台事后全量下线市场，也侧面说明事前审核与运行时监控之间存在空隙。
影响与看点
对开发者而言，最直接的变化是插件安装需要重新建立风险意识。过去在 IDE 里装扩展接近“无脑操作”，现在则需要确认发布者身份、权限范围和更新记录。企业团队可能会开始把插件白名单纳入开发环境管理。
对平台而言，这次事件会推动插件市场向更严格的方向演进：发布者实名或组织认证、权限声明与最小授权、更新内容的差异审查、异常行为的运行时告警。这些在浏览器扩展生态里已经走过的路，AI 编程工具很可能要再走一遍，而且节奏更快。
一个独立判断是：AI 编程工具的护城河正在从模型能力转向信任基础设施。谁能把插件生态的安全边界做扎实，谁才更有资格让开发者把整个代码库交出去。模型差一点可以忍，供应链出一次事故，信任很难补回来。
