文章目录📖 介绍 📖🏡 演示环境 🏡📒 装了个「官方」扩展，背后却悄悄开了后门？ 📒🧭 事件经过：恶意代码藏在哪里🔍 它到底动了什么：四步攻击链🧪 怎么判断自己中没中：四张自查表🛡️ 中招了怎么清理：别只卸载扩展🎯 这件事给我们的提醒⚓️ 相关链接 ⚓️📖 介绍 📖你在扩展市场里装了一个「官方出品」的编辑器扩展，装完一切正常，代码照写、界面照用，看起来什么都没发生。但就在扩展被加载的那一瞬间，一段被预先塞进脚本里的恶意代码已经悄悄跑起来了——它不弹窗、不报错，只是默默往你的 SSH 授权文件里塞了一把攻击者的公钥，并试着把本机的远程登录通道打开。这不是电影情节。最近一起真实的安全事件里，某款主流 AI 编程工具的官方 VS Code 扩展，在另一个编辑器（Cursor）的扩展市场上架的版本被人动了手脚，变成了带后门的安装包。五分钟足够把那条被塞进去的公钥找出来。正文把事件脉络摊开，末尾附一份可以直接照做的「自查 + 清理」清单，装过相关扩展的朋友建议花五分钟过一遍。🏡 演示环境 🏡🖥️系统环境：macOS / Linux / Windows（三平台均受影响）🔧运行环境：VS Code 类编辑器，并从第三方扩展市场安装扩展📦涉及版本：文中的「事件经过」小节点名具体版本号📢注意：