Cursorは10月29日、調査者がプラグインの悪意あるバージョンがSSHバックドアをインストールしていたことを発見した後、侵害されたClaude Code拡張機能をマーケットプレイスから削除しました。推定5,000人のユーザーに影響した可能性があります。問題はAnthropicのAIモデル「Claude」には関係なく、マルウェアはCursorの拡張機能マーケットプレイスを通じて開発者に届きました。

改ざんされた2つのビルドが11時間公開されていた

Anthropic.claude-codeの改ざんされた2つのバージョン「2.1.312」と「2.1.313」が、WindowsおよびmacOS向けにCursorのマーケットプレイスでダウンロード可能になりました。Cursorの通知によると、これらは10月29日の午前2時27分から午後1時35分(太平洋時間)までの約11時間、ダウンロード可能な状態でした。

悪意あるプラグインはAnthropicが作成したものではありません。バージョン2.1.313を検証したOpenSourceMalwareは、公式npmパッケージ、Open VSXのリスティング、Microsoft VS Code Marketplace版は影響を受けていなかったことを確認しました。この点は、侵害が拡張機能自体ではなくCursorの配布チャネルで発生したことを示しており、ソフトウェアインストールの信頼された経路が攻撃経路となるサプライチェーン攻撃の特徴です。

正規の拡張機能の前に仕掛けられたバックドア

攻撃者は拡張機能のJavaScriptファイルの先頭に66行のローダーを隠しており、悪意あるコードが正規の拡張機能より先に実行される仕組みでした。OpenSourceMalwareは次のように説明しています:

「ユーザーはClaudeとの会話を開始する必要はありません。拡張機能モジュールの読み込みだけで十分です。」

有効化されると、このコードはコンピュータに関する情報と、そこに存在する認証情報の種類を収集しました。開発者のマシンはソースリポジトリ、クラウドインフラ、デプロイパイプラインへのアクセス権を持つことが多いため、この情報収集ステップは重大な意味を持ちます。さらに、svc-telemetryという名前のSSHキーを生成し、134.209.82.225へのリバーストンネルの作成を試みると同時に、HTTPポート8099経由でデバイスデータを送信しました。

Cursorによると、SSHの使用は管理者権限がない場合は通常失敗していたといいます。それでも、スパイウェアのキーと永続化スクリプトはコンピュータ上に残る可能性があり、コードはマシンに関する情報の収集と送信を継続できる状態でした。

アンインストールだけでは不十分な理由

Cursorはマルウェアを削除し、マーケットプレイスを一時的に閉鎖し、他の拡張機能を確認し、ホスティングプロバイダと協力して攻撃者のサーバーをオフラインにしました。しかし、それは影響を受けたコンピュータが安全になったことを意味しません。Cursorはセキュリティガイダンスで次のように警告しています:

「拡張機能をアンインストールしても十分ではない可能性があります。ペイロードは動作し続けるスタンドアロンの永続化スクリプトを配置します。」

これらの永続化スクリプトの例として、macOSのLaunchAgentやWindowsのスケジュールタスクがあります。Cursorは影響を受けた開発者に対し、svc-telemetry SSHキーを削除し、同社のクリーンアップスクリプトを実行するよう勧めています。開発者は、影響を受けたコンピュータからアクセス可能な認証情報を変更する際に、別の信頼できるデバイスを使用しなければなりません。影響を受けたバージョンをインストールした人は、拡張機能をアンインストールした後でも、これらのアーティファクトが削除されていることを確認する必要があります。

これが2026年のパターンに当てはまる理由

Cursorのインシデントは、より大きな問題の一部です。攻撃者は開発者が使用し信頼するツールを標的にする動きを強めています。Cloud Security Allianceは、AIアシスタントの設定ファイルに隠れた指示を挿入する34以上の悪意あるパッケージが関与したTrapDoorキャンペーンについて報告しました。一方、GlassWormキャンペーンはスリーパー拡張機能を使用して開発者の認証情報と暗号資産ウォレットを標的にしました。Cryptopolitanは以前、Socketが特定した73の拡張機能について報道しました。Cursorの事例を際立たせているのはその場所です。改ざんされたビルドは、サードパーティのリスティングではなく、ツールベンダー自身が運営するマーケットプレイスに出現しました。

問題は拡張機能にとどまりません。Sonatypeは2025年に45万4,600を超える新規の悪意あるパッケージを特定しました。汚染されたnpmライブラリに関する同社の調査結果はCryptopolitanも取り上げています。これらは別個の攻撃であり、実行者間の関連は確認されていません。

信頼がエンタープライズ契約の項目になる

開発者のAIツール利用が拡大するにつれ、脅威の増大は明らかになっています。GitHubのOctoverseによると、AIシステムの普及に伴い開発者の活動が増加しています。2026年のStack Overflow調査では、回答者の80%がAIツールを1日1時間以上使用していると答え、48%はその妥当性を容易に確認できる場合にのみAI生成コンテンツを信頼すると回答しました。

企業にとって、AIツールの利用拡大は新たなセキュリティ上の懸念をもたらします。企業は、より厳格なマーケットプレイスのチェック、拡張機能が正規のソースから提供されていることの証明、より厳しいアクセス制御を求め始める可能性があります。また、セキュリティ侵害が発生した際のベンダーのより迅速な対応も期待するでしょう。こうしたセキュリティ対策は、AIツール導入のさらなるコストとなり得ます。ただし、これらは依然として潜在的なコストであり、Cursorインシデントによる実際の金銭的損失ではありません。

出典:Cryptopolitan