📡 Signal｜Cursor の拡張ストアに改ざん版 Claude Code、最大 5,000 人に影響

AI コードエディタの Cursor は 10 月 29 日、自社の拡張機能マーケットで、Anthropic の Claude Code の VS Code 向け拡張を装った改ざん版（バージョン 2.1.313）が配布されていたと公表した。配布されていたのは太平洋時間 29 日の午前 2 時 27 分から午後 1 時 35 分（日本時間 29 日 18 時 27 分から 30 日 5 時 35 分）で、影響を受けた利用者は最大 5,000 人。

改ざん版は、入れただけで開発者の端末に外から入り込むための鍵を仕込もうとした。正規の名前で、普段使っている配布元から届いた更新が、裏口になった。AI に作業を任せる開発ツールが、開発者の端末を狙う新しい入り口になったことを示す事件だ。

改ざん版は何をしようとしたか

Cursor の告知によると、改ざん版は端末に入ると次のことを試みた。

• ホスト名・ユーザー名・OS・環境変数の名前・Git に登録したメールアドレス・グローバル IP などを集め、攻撃者のサーバーへ送る
• 攻撃者の SSH 鍵を authorized_keys に書き足し、端末の SSH 機能を有効にして、外へ向けたトンネルを張る
• macOS では LaunchAgent、Windows では管理者権限の定期タスクを使い、再起動後も約 60 秒ごとに接続を試み続ける

Cursor は、SSH を有効にする段階は管理者の権限が要るため、多くの場合は失敗するとしている。攻撃者のサーバーはすでに止まっている。それでも改ざん版は鍵の書き足しや常駐の仕掛けを続けるため、告知は「拡張機能を削除するだけでは足りない可能性がある」と書いた。セキュリティ研究サイトの OpenSourceMalware の解析では、仕掛けは拡張機能の本来の処理より先に動き、利用者が Claude との会話を始めなくても実行される。

影響の確認方法も示されている。macOS なら ~/.ssh/authorized_keys に svc-telemetry という名前の鍵が無いかを見る。見つかった場合は、Cursor が配布する削除用のスクリプトで鍵と常駐の仕掛けを消し、端末からアクセスできた認証情報を、安全な別の端末から作り直すよう求めている。

Cursor の対応と、Anthropic の位置

Cursor は改ざん版を取り下げたうえで、念のため拡張機能マーケットそのものを止めた。作り直して再開し、ほかの拡張機能が改ざんされていないことを監査で確かめた。自社の鍵も入れ替え、ホスティング事業者と協力して攻撃者のサーバーを止めた。利用者には修正版 2.1.314 への更新を求めている。

改ざん版について、Cursor は「Anthropic が開発したものではない」とし、ほかのバージョンや公式の配布経路が影響を受けた証拠は無いとしている。OpenSourceMalware も、npm で配られる Claude Code 本体や、Open VSX と Microsoft の VS Code 向けに配られている拡張機能は対象外だとした。

まだ分かっていないのは、改ざん版がどうやって Cursor のマーケットに入ったかだ。告知は経路も原因も書いていない。

鍵より先に、鍵を使う人の端末が狙われる

同じ 30 日、Binance は流出の初期調査で、入口として DevOps 担当者のノート PC の侵害を挙げた。2 つの出来事を結び付ける公表は無い。ただ、暗号を破らずに、権限を持つ人の端末から入るという筋は共通している。2025 年 2 月に約 15 億ドルが流出した Bybit の事件も、ウォレットの事業者 Safe の開発者の端末の侵害から始まった。

AI のコーディング支援は、開発者の端末でファイルを読み書きし、コマンドを実行する。その拡張機能は、開発者とほぼ同じ権限で動く。便利さのために渡した権限が、そのまま攻撃者の足場になる。開発に AI を使う会社ほど、どの拡張機能を、どの版で入れているかの管理が、資産を守る仕組みの一部になる。

次に見るもの

確認先は Cursor の告知ページ（cursor.com/blog の Claude Code 拡張のセキュリティ告知）だ。改ざん版がマーケットに入った経路の説明が追記されるかを見る。影響を受けた利用者には Cursor が直接連絡するとしており、その範囲が示されるかも分かれ目になる。

Cursor の拡張機能を使っている開発者は、今日のうちに authorized_keys の svc-telemetry と Claude Code 拡張の版を確かめられる。2.1.313 が入っていれば、告知の手順に沿って対応する。

ことば

• VS Code 拡張機能 — コードエディタの VS Code やその派生（Cursor など）に機能を足す追加部品。エディタと同じ権限で動くため、改ざんされると端末の中を広く触れる。
• authorized_keys — SSH でのログインを許す公開鍵の一覧を書いたファイル。ここに攻撃者の鍵が足されると、パスワード無しで外から入れる状態になる。
• サプライチェーン攻撃 — 標的を直接狙わず、標的が信頼して使う部品や配布元に毒を混ぜる攻撃。今回は拡張機能のマーケットがその経路になった。

🔗 一次ソース

• Cursor 公式 X の告知（最大 5,000 人・Anthropic の開発ではない）
• Cursor「Security Notice: Malicious Anthropic.claude-code 2.1.313 in the Cursor Marketplace」（配布時間・挙動・確認と削除の手順）Cursor
• OpenSourceMalware「Trojanized Claude Code Extension Plants Persistent SSH Backdoor」（改ざん版の解析）opensourcemalware.com
• Binance「Security Incident Update」（DevOps 担当者のノート PC の侵害）binance.com
• FBI（IC3）公共広報 I-022625-PSA（Bybit の約 15 億ドルの流出）ic3.gov
• Safe Ecosystem Foundation の声明（Bybit の事件は Safe の開発者端末の侵害から）safefoundation.org