太平洋时间10月29日凌晨2:27，AI 开发领域最受信任的工具之一发布了新版本，出现在 Cursor 的扩展市场中。它顶着正确的名称——Anthropic 的 Claude Code，以及一个看似合理的版本号 2.1.313。开启了自动更新的开发者像接收每一次更新那样接收了它：悄无声息，无需任何决定。
这并不是 Anthropic 的构建。Cursor 表示该版本并非 Anthropic 开发，Anthropic 也表示自身系统未遭入侵。根据 Cursor 的披露，这个被篡改的版本分发了约十一个小时，直到太平洋时间下午1:35，触达多达 5,000 名用户。已公开的分析描述了其中夹带的内容：一个被缝合在原本合法的代码前面的加载器，使助手照常工作，而载荷则把一把由攻击者控制、标记为“svc-telemetry”的 SSH 密钥添加到机器的授权密钥中。报告还描述了一条通往攻击者服务器的反向隧道，以及在卸载扩展后依然存在的持久化机制。
Cursor 下架了该软件包，并在调查期间关闭了其扩展市场。但这段时间窗口早已造成了破坏。Cursor 警告称，卸载扩展可能无法清除后门。十一个小时，已经足够。
真正失守的是什么
抛开细节，这次失守其实很简单：这个工具的身份只是一个名称和一个版本字符串，而在该构建运行于数千台持有代码库访问权限、云密钥和部署凭据的机器之前，没有任何环节对照发布者核验过这个构建。
名称是一种声明。版本号也是一种声明。10月29日，这两项声明都是假的，而整条链路（扩展市场、自动更新、开发者工作站）却照单全收，因为照单全收正是当今工具供应链的运作方式。
如果你构建或使用 AI 智能体，这一幕应该似曾相识。这正是我们每天在 MCP 生态系统中测量的那一类失守：条目保留着受信任服务器的名称，底层代码却已易手；工具的描述和行为被悄悄修改，版本号却没有变化；软件包偏离了当初审查过的内容。Cursor 事件是同一种失守，只是发生在开发者机器上，而非智能体工具中：没有人把内容固定到身份上，也没有人在关键时刻进行检查。
为什么传统安全会漏掉这一点
传统打法假定供应链会静止足够长的时间以供审查：这里做一次供应商评估，那里参考一下扩展市场的口碑，每年审查一次团队使用的工具。但如今工具供应链每天都在变化——新的服务器、新的版本、无声的修改——而智能体和自动更新程序持续从中拉取内容，并以真实的权限运行它们拉取的东西。这些机器上的端点防护眼看着一个受信任的渠道从正门送进了一次更新。本可以拦住它的检查从来就不是端点检查，而是身份检查，而这种检查并不存在。
工具声称自己是什么，与它可被证明是什么，这两者之间的缺口，正是 Redthread 创立之初就要填补的那一层。
Redthread 如何应对
我们的 Agentic Trust & Protection Platform（ATPP）从一个直截了当的前提出发：验证构建，而不是名称。我们每天对整个 MCP 注册表进行签名扫描，而最新一次扫描说明了为什么这不能是一项按季度进行的工作。11月2日的扫描覆盖了官方 MCP 注册表中的 55,375 个服务器，发现了 1,518 起条目调包，即同一名称之下的代码已经易手；2,193 个工具在版本号未变的情况下修改了定义；自前一天的扫描以来，有 2,075 个条目发生了变化。这项扫描的存在，正是为了捕捉这一类事件：一个受信任的名称，包裹着一项未经验证的变更。
- 身份与构建绑定。 ATPP 通过内容固定将密码学智能体身份与构建绑定，因此身份无法脱离为其签发的那份确切代码。
- 在调用时验证，而不是在审查时。 当某个工具发生漂移时，吊销会从这次漂移传播到所有信任它的智能体和委托。
- 带指纹的工具定义。 每个服务器的工具列表都会被计算哈希，因此一个版本不变、内容却已改变的工具，会被标记为它的真实面目：rug-pull 手法。每天的签名扫描清单都锚定在公开的 Sigstore Rekor 透明日志中，因此我们的声明同样可以被检验。
- 可据以行动的信号。 通过检验的发布者会获得可验证的徽章，信任状态的变化会以签名事件的形式发出，网关、编排器和安全团队可以在数秒内据此行动。我们的 Enforce 网关目前处于预览阶段，会把这种验证内嵌到调用路径之中。
- 开发者自己的工具。 针对10月29日遭受攻击的这一层面，我们为 Claude Code 和 Cursor 提供的钩子（同样处于预览阶段）会在每次 MCP 工具调用运行之前，对照服务器的签名声明进行检查；AIBOM 导出功能则为你的团队提供一份 CycloneDX 物料清单，涵盖你机器上配置的每一个 MCP 服务器：这是工具供应链的真实清单，而不是对它的猜测。
在 ATPP 之外，我们的无代理评估平台覆盖了这些工具所运行的资产环境。免费的自助扫描无需安装任何东西，即可绘制出你的 AI 与工具足迹，包括无人盘点过的影子 AI 和未登记的工具。发现结果通过真实的漏洞利用加以验证，并附带可复现的概念验证：是证明，绝非推断出来的评分。CI/CD 门禁阻止未经验证的工具和已证实的攻击路径进入你的流水线，持续的重新评估会在报告之后继续监测漂移，结果则汇总为证明函，你的团队可以直接交给企业客户的安全审查人员。
我们对自己的产品也执行同样的标准。我们的可选端点传感器只做检测、从不拦截，其更新会经过分阶段发布门禁：按主机的 1%、10%、50% 和 100% 划分金丝雀环，一旦某个环反馈异常就会自动叫停。10月29日展示了一个无人把守的更新渠道会造成什么；我们在构建自己的更新渠道时，把这一教训视为同样适用于我们，因为事实确实如此。
与我们一起构建
Redthread 是一家拥有生产系统的年轻公司，而加固这些系统最快的方式，是在实战中与最先感受到这一问题的团队一起完成。我们正在开放两到三个创始设计合作伙伴名额。试点免费，为期 30 到 45 天：我们扫描你的资产，在一条实时工作流上部署身份与验证，而你将获得下一次企业安全审查真正会认可的证据。创始合作伙伴可锁定大幅折扣的价格，并参与塑造他们所使用的产品。
如果你的智能体会调用并非你编写的工具（它们确实会），请先运行 免费资产扫描，在以下网址查看信任数据： trust.redthreadsec.com，并 与我们一起构建验证层。10月29日让我们看到了十一个小时未经验证的信任会付出怎样的代价。让我们确保下一个假构建撞上的是一堵墙，而不是一张欢迎地垫。