Cognition 发布 2026 年 11 月实用安全指南：从 Binance 被盗到 Claude Code Cursor 扩展投毒的应对清单

Cognition 在 Devin 博客发布 2026 年 11 月实用安全指南，回顾近几周接连发生的安全事件，并给出企业可落地的加固清单。文中列举的事件包括：朝鲜国家支持的黑客从 Binance 盗走 63.4 亿美元，起点是工程师笔记本因虚假面试和被篡改的安装程序失陷，一台机器上的部署令牌让攻击者触达钱包签名服务；10 月 29 日 Cursor 披露 Claude Code Cursor 扩展被投毒，恶意版本试图安装持久后门以支持 SSH 登录，Cursor 称受影响用户不到 5,000 人，且该扩展版本与 Open VSX 注册表上的版本不一致，说明下游发布流程被攻破。 漏洞方面，指南提到 PHP2Shell 内存安全缺陷影响约 70% 运行 PHP 的网站，单个未认证请求即可在某些配置下触发；GitLab 存在未认证远程代码执行漏洞；VPN、防火墙等边缘设备再爆严重漏洞；证书颁发机构 eMudhra 把私钥设成数字 4；KVM 存在客户机到宿主机逃逸漏洞；Linux TCP 协议栈 CVE-2026-98432 可在启用 Multipath TCP 监听器时被未认证远程攻击者获取 root 权限，而 Go 1.24+ 默认启用该监听器。 指南将行动分为立即执行与 30 天内完成两组。企业环境侧，立即启用抗钓鱼 MFA 与设备绑定登录、审计公开攻击面、部署密码管理器和广告拦截器；30 天内把所有设备纳入 MDM 与 EDR、锁定浏览器和编辑器扩展允许列表并设置自动更新延迟、审计整体攻击面。开发环境侧，立即用 TruffleHog 等工具扫描开发者机器上的密钥、审计已安装扩展与 MCP 服务器；30 天内把密钥迁入密钥管理器并轮换，转向云端编码智能体和远程开发环境。 代码与依赖侧，建议用前沿模型检查代码库和关键开源依赖、扫描镜像与构建产物中的密钥，30 天内制定迁移到内存安全语言的重构计划，并为 npm、PyPI 等设置至少 7 天最小包龄、锁定版本并提交 lockfile。监控方面要求确认身份提供商登录记录、云审计日志、CI 活动等日志存在且攻击者无法删除，并对新增管理员账号、MFA 变更、异常位置读取密钥等高信号事件设置不可篡改告警。