Claude Code 扩展被下了后门,然后呢:给 AI 编码工具做安全扫描,为什么别做

11 个小时

2026 年 10 月 30 日 UTC 早上 5:30,Calum Hall 和 Luke Roberts 在英国开的 macOS 安全公司 Phorion 发了一篇分析,讲的是前一天的事。

10 月 29 日,太平洋时间凌晨 2:27,Cursor 自家的扩展市场开始分发 Anthropic.claude-code 2.1.312,随后又发了 2.1.313。这两个版本都不是 Anthropic 打的包。extension.js 开头被插了一段代码,扩展一加载就执行:往 ~/.ssh/authorized_keys 写一把注释为 svc-telemetry 的公钥,开一条反向 SSH 隧道连到 134.209.82.225;在 macOS 上装 LaunchAgent,在 Linux 上写 crontab,在 Windows 上建计划任务;再把主机名、Git 配置和名字里带 KEY、TOKEN 的环境变量名回传出去。下午 1:35 下架,前后 11 个小时(Cursor 安全公告、Phorion 分析)。

分析发出后 07:09 有人把它贴到 HN,最后拿到 946 分、540 条评论。同一天 Kevin Beaumont 关于这件事的两条帖子各拿了 655 分和 399 分。Replit 的 Amjad Masad 在 X 上写「Massively underreported」,还顺口问了一句这会不会和 Binance 的事有关(574 赞,11.5 万次浏览;这只是他的猜测)。Anthropic 的 Felix Rieseberg 在 HN 评论区澄清,Anthropic 自己的系统没有被入侵:

A malicious actor used access to Cursor's marketplace to publish a tampered copy of the Claude Code extension, which we didn't build or publish. The versions on our official channels are not affected.Felix Rieseberg(Anthropic),HN 讨论串

攻击者是怎么拿到上传权限的,到 11-02 还没公布;受影响的人数,Cursor 也没说。

每次出这种事,做开发者工具的人都会冒出同一个念头:做个扫描器吧,扫扩展、扫 Skills、扫 MCP server,装之前先查一遍。这篇要说的是,这个念头别去做。

出了事,大家要的是什么

HN 那条帖子下面几百条评论,要的东西很集中,没有一条是「给我一个扫描器」:

要签名,不要再多装一层

「OpenVSX has no extension signing? no verifications? what year is this.」另一位说,他一直以为 Cursor 商店里写着「Made by Anthropic」,就是 Anthropic 签过名的。这是平台该做的事,不是第三方能卖钱的东西。

要隔离

在容器或虚拟机里开发,出站流量走白名单;「扩展不需要整台电脑的权限」。

把扫描当成大路货

「Any cheap model would do well enough. Heck, it's effectively virus scanning, we've had that for decades.」马上有人反驳:prompt injection 没解决之前,别让 LLM 去读不可信的代码。吵的两边都没打算为扫描付钱。

企业要的是一整套流程

CSO Online 采访的分析师列了张单子:扩展白名单、受控更新、终端监控、限制出站、短期凭证、隔离的开发环境。每一项都是 MDM、EDR 或 IAM 的功能。

个人不为扫描掏钱,企业要的是一整套流程,小团队交付不了。这是这个方向最根本的问题,后面的数字都在印证它。

抓到它的人,卖的不是扫描器

Phorion 的两位创始人都是做 macOS 攻击出身,在 F-Secure Consulting 做过红队,2020 年在 Objective by the Sea 讲过怎么攻击 Jamf。创始工程师 Alfie Champion 写过《Practical Purple Teaming》。他们卖 macOS 的 EDR:装在公司的每一台 Mac 上,盯进程、盯文件,出了事能远程处置,每台终端每月 $15,只有一个档位(官网 FAQ)。没有公开过融资。

他们能第一时间写出分析,是因为自家产品本来就装在客户的 Mac 上。公告里给的建议是写给企业的:立刻排查环境里有没有用过 2.1.312 或 2.1.313,发现了就启动事件响应。读者是安全团队,不是个人开发者。这是它到目前为止最大的一次曝光,HN、Cursor 公告、CSO Online、The Hacker News 都引用了它。

所以第一件要知道的事:扩展投毒的发现者和受益者,都是卖给企业安全团队的人。他们的护城河不在扫描规则,而在两样东西:已经装在客户机器上的 agent,和出事时能被叫来处理的人。

事故拿 946 分,扫描工具拿 2 分

热度能不能变成用户?HN 上三个月里这个循环转了好几圈。下图把 8 月 1 日以来开发者工具链出的事故,和同期发布的扫描 / 防护工具放在一起:

87 条工具 Show HN 的分数,中位数是 2,69 条不超过 3 分,最高的 28 分,没有一条过 50。10-21 LiteLLM 在 PyPI 上被投毒,事故帖 596 分;几天后 Strix 团队开源了一个「操作系统级的包防火墙」,标题直接写着「After LiteLLM's backdoor」,只拿到 27 分,GitHub 上到 11-03 是 21 星。

这次事件之后,10-29 以来 GitHub 上没有出现任何一个针对这次后门、过 20 星的检测脚本。大厂扫描器的星也没被这件事推起来:

看着最像「事件一来、工具爆火」的,是 Zero-Breach-Toolkit。Citizen Lab 10-15 披露 AdFection,一条借定向广告投递零点击间谍软件的链路;第 3 天,10-18,interplains 这个账号建了 zero-breach;10-25 又建了覆盖 Pegasus、Predator 的 Toolkit,一周涨了 4,000 星。但 interplains 不是安全公司,GitHub 简介写的是一个政治议题的档案项目,工具免费,靠议题社区转发。它每天涨的星从 10-29 的 +1,566 掉到了 11-02 的 +107。这是一次脉冲,不是一个产品。

货架上已经摆满了,而且全都免费

挤不挤?专门扫 Skills、MCP 和 agent 的开源工具,11-03 的星数是这样的:

谁	星	做什么
NVIDIA SkillSpector	23,978	扫 Claude Code、Codex、MCP 的 skill,70 多条规则,再可选让 LLM 判断意图;NVIDIA 自家的 skills 目录要求先扫描、签名,才能上架
腾讯 AI-Infra-Guard	7,335	把 Agent、Skills、MCP 放在一起扫的红队平台
Snyk agent-scan	3,198	前身是 Invariant Labs 的 mcp-scan;现在要 SNYK_TOKEN 才能用云端分析,等于给 Snyk 拉新
Cisco skill-scanner / mcp-scanner	2,682 / 1,106	一个扫 Agent Skills,一个扫 MCP server
Harden(hardenrun/aif)	1,805	本机小模型检查 agent 的每次工具调用;后面单独讲

另有 Perplexity 的 numbat(1,160 星,端点上的 agent 行为可见性)、nolabs-ai 的 nono(4,806 星,agent 沙盒)。全部是 Apache-2.0 或类似的许可,免费。星数来自 GitHub,11-03。

更要紧的是,平台自己下场了。Open VSX 2026 年 2 月起做发布前检查,3 月开始拦截。OpenClaw 的 ClawHub 2 月接入 Google 旗下的 VirusTotal,每个上传都扫,每天再重扫一遍。Vercel 的 skills.sh 2 月接入 Socket。Smithery 用 mcp-scan 扫自己目录里的全部 MCP server。Anthropic 的插件目录 9-25 起每次提交都自动扫描。VS Code 官方市场用的是微软自家的 Defender。扫描正在变成市场的基础设施,由平台和估值十亿美元的公司免费提供。平台挑外部合作方时,挑的是 VirusTotal、Socket、Snyk 这几家,没有给小团队留位置。

钱去了哪儿

在这个方向上真赚到钱的,有四种。没有一种是「独立开发者卖扫描器」。

一是被收购。Koi Security 的三位创始人都出自以色列 8200 部队,2024 年在特拉维夫起步。他们起家的办法是自己做了一个假的 VS Code 扩展,一周就「感染」了三百多家机构;后来在 Open VSX 上发现会自我传播的扩展蠕虫 GlassWorm,也是他们挖出来的。2025 年 9 月累计融了 4,800 万美元;2026-02-17,Palo Alto Networks 宣布收购,4-14 交割。媒体报的价格约 4 亿美元,PANW 10-Q 里写的总对价是 2.31 亿美元,两个数对不上,公开资料里没有解释。Invariant Labs 更快:ETH 苏黎世的教授和学生 2024 年成立,做出 mcp-scan,2025 年 6 月被 Snyk 收购,前后不到一年。在这条路上,扫描器的作用是履历,买家是大安全公司。

二是卖证明。TrustMRR 上「安全」类收入最高的那家不是扫描器,是做 SOC 2 合规的 Comp AI:迈阿密,三位联创之前一起做过用户上百万的工作流工具 LeapAI。过去 30 天收入 $804,969,10 月单月 $848,423,一年前的 11 月是 $155,077(TrustMRR)。9 月刚融完 3,400 万美元 A 轮。它在 Meta 上有 12 条在投广告(11-01),最新一批 10-22 上线,其中一条的标题是「Stop losing deals in security review」,正文是:

The champion said yes. Then their security team sent a 200-question spreadsheet. Comp AI gets you audit-ready in 14 days.Comp AI 的 Meta 广告,10-22 开投(Meta 广告库)

客户掏钱不是因为怕被黑,是因为过不了安全审查就签不了单。另外它的 MRR 只有 $15,397,30 天收入是 MRR 的五十多倍,说明钱主要来自年付合同和审计费这类一次性收入。

三是卖攻击。Audn.AI 是 TrustMRR 上涨得最快的小安全公司:7 月 $1,363,8 月 $14,789,9 月 $20,161,10 月 $53,367,102 个订阅。创始人 Ozgur Ozkan 是土耳其人,在伦敦,之前在自动驾驶公司 Wayve 做云安全。但它在 TrustMRR 上填的定价是「$999/mo, unlimited」,对上的是官网上叫 WARLOCK 的产品:一个去掉了拒答的 DeepSeek 模型,卖给「授权红队」。同一页上还有另外四个无限制模型,$20–179/月。收入里多少来自 AI 红队检测、多少来自卖无限制模型,它没有拆开;推断后者占比不小。3 月到 4 月它在 Google 投过 13 条广告,之后没再投(Google 广告透明中心)。这和 [010] 看到的一样:安全话题里最好卖的,常常是灰色的那一面。

四是卖终端。Phorion 每台 $15/月是一类;Aikido 4 月推出的 Endpoint 也是这一类:装在开发机上,在安装之前拦下有风险的包、IDE 扩展和 AI 工具。Aikido 1 月以 10 亿美元估值融了 6,000 万;Socket 5 月同样以 10 亿估值融了 6,000 万,10 月前后开始扫 VS Code 市场,目前标为实验功能,要找销售开通。

独立开发者那边是这样的:

CheckVibe(瑞士,靠 TikTok 和 Reddit 获客)6 月做到 $2,788,之后每个月都在掉,10 月 $675。Vibe App Scanner(加拿大,靠 SEO)一直在 $300 到 $900 之间。ShipSafe 的 CLI 安全扫描卖 $9/月,30 天收入 $9,也就是一个订阅。AgentScan(印度,卖「安全扫描 + 审核过的 agent 工作流」,$49 买断)是 $0。而且它们扫的都还是 vibe coding 写出来的应用本身的漏洞,和「扫扩展 / Skills / MCP」还隔着一层。专门做这一层的,TrustMRR 上没有一家有收入——想进来的人,连一个可以对照的付费样本都没有。

做 OpenClaw skill 扫描的 ClawSecure(旧金山)3 月免费上线,PH 当日第 2;现在卖 $9.99–199/月 的订阅,GitHub 仓库 38 星,付费用户数没公开。塞尔维亚开发者一个周末做出来的 SClawHub,PH 96 票,仓库 6 星,免费。

看着最像做成了的那家,仓库是空的

Harden 是这个方向里看着最像「小团队做成了」的一家。9-09 上 PH,拿了当日第 2(369 票),仓库 hardenrun/aif 有 1,805 星、392 个 fork,个人版永久免费,企业版按报价收费。但 11-02 那天它是这个样子:

• 仓库只有 README、LICENSE、NOTICE、SECURITY.md、SUPPORT.md 和 issue 模板,没有源码。
• 最新的 100 个 fork 里,69 个账号注册于 2026-08-12,14 个注册于 08-13,11 个已经注销;看着正常的只有 6 个(GitHub API)。
• 星数从 10-27 到 11-03 连续七天停在 1,805,一颗都没涨。
• 首页写着「SOC 2 Type II audited」和「has completed an independent SOC 2 Type II audit」;它自己的 trust 页写的却是「In progress · In audit · Target: August 2026」。现在已经 11 月了。

背后的公司叫 VizopsAI,在旧金山。CEO Pushpak Pujari 做过 Verkada 的产品总监;CTO 在 Amazon Alexa 和 Google DeepMind 待过;CISO 来自 WhatsApp 和 Verkada。据报道融了 200 万美元 pre-seed,只有一个来源,投资方没有公开。一支企业安全出身、请了 Gong 首席信任官当顾问的团队,也只能先免费铺量,而且排在第一位要补的事是 SOC 2。说到底还是在卖证明。

什么情况下,这门生意会变

窗口现在是关着的。盯三个信号,任何一个出现,都值得重新看:

• TrustMRR 上出现一个专门扫扩展、Skills 或 MCP 的产品,30 天收入过 $5k。11-02 是零家;最接近的开发者安全小工具是 Vibe App Scanner,$798。
• 主流市场开始要求上架方提交第三方审计报告,而且认可的审计方不止 VirusTotal、Socket、Snyk 这几家。那会长出一个按次收费的审计市场。到 11-02,Cursor、Open VSX、微软都没宣布新政策。
• 大厂的开源扫描器停更,或者转成闭源收费。Snyk 已经把 agent-scan 绑到了账号上,值得盯着。

如果是你

最后说给所有做产品的人。做扩展、Skills、MCP 的人要知道,发布渠道正在被盯上,你发出去的东西可能被人改了再发一遍:给自己的包签名、开两步验证、别让 CI 里的发布凭据长期有效,这些比买任何扫描器都管用。至于「事件很热,做个工具」这种冲动,规律是:安全这门生意卖的是能拿给别人看的东西,比如证书、审计报告、出事时有人接电话;让你自己安心的东西,大厂会免费送。