Cursorは10月29日にセキュリティ告知を公開した。同社のVS Code拡張機能マーケットに、改ざんされたAnthropic.claude-code 2.1.313が出回っていたという。このバージョンはAnthropicが開発したものではなく、最大で約5000人のユーザーがダウンロードした。Cursorは該当バージョンを削除し、拡張機能マーケット全体を一時閉鎖したうえで、自社の鍵をローテーションして再構築し、再公開した。影響を受けたユーザーには個別に連絡するとしている。
告知に記された時刻によると、悪意あるバージョンは太平洋時間の同日午前2時27分ごろからダウンロード可能になり、午後1時35分にようやく取り下げられた。公開期間は約11時間にのぼる。Cursorは、公式バージョンおよびマーケット内の他の拡張機能が改ざんされた形跡は現時点で見つかっていないとしている。
インストール後に何をするのか
この拡張機能はまず、ホスト名、ユーザー名、OSとアーキテクチャ、ホームディレクトリのパス、環境変数の名前、現在の作業ディレクトリ、Gitのメールアドレス、グローバルIPといったホスト情報を収集する。そのうえで、攻撃者のサーバーの8099番ポートにある/beaconエンドポイントへHTTP POSTで送信する。
続いて、長期的なバックドアの設置を試みる。authorized_keysに攻撃者のSSH公開鍵を書き込み、端末のSSHサービスを有効にし、攻撃者側へ戻るリバースSSHトンネルを張る。macOSではLaunchAgentで永続化し、WindowsではSYSTEM権限でのタスクスケジューラ登録を試み、失敗すれば起動スクリプトに切り替える。バックグラウンドのスクリプトは約60秒ごとにトンネル接続を再試行する。
攻撃者のコードには欠陥があった。Cursorが管理者権限で起動されていない限り、トンネルの構築はたいてい失敗する。また、攻撃者のサーバーはすでにホスティング事業者によって停止されており、トンネルも情報送信も現在は接続できない。それでもCursorは、トンネルが張れなかったからといって無事とは限らないと注意を促している。公開鍵、永続化スクリプト、すでに送信されたホスト情報は、端末上に残っている可能性がある。
“Uninstalling the extension may not be sufficient — the payload drops standalone persistence scripts that keep running.”（拡張機能をアンインストールするだけでは不十分な場合がある。ペイロードは単独で動き続ける永続化スクリプトを残す。）
ユーザーが確認すべきこと
告知が示す確認方法は明快だ。SSHの認可リストにsvc-telemetryという名前の公開鍵がないかを調べる。ターミナル、ネットワーク、拡張機能のインストールログから、告知に挙げられたIP、ポート、2種類のVSIXファイルのハッシュ(macOS arm64向けとWindows x64向けの2パッケージ)を検索する。実行の痕跡が見つかった端末はまず隔離し、公式スクリプトで鍵、永続化項目、トンネルのプロセスを削除する。必要なら再インストールする。
見落とされやすいのが最後の手順だ。その端末からアクセスできた認証情報とセッションはすべて更新する必要があり、しかもクリーンなPCで行うこと。Cursorによれば、拡張機能が読み取ったのは環境変数の名前だけで値ではないが、バックドアがいったん開通すれば、攻撃者はいつでも戻って情報を取得できる。
コーディングツールがサプライチェーン攻撃の標的に
この1年を振り返ると、AIコーディングツール周辺のサプライチェーン事故は途切れていない。当サイトでは、AIサービスのキーを盗む目的でLiteLLM 1.107.0に毒が仕込まれた件や、VS Code拡張機能の脆弱性により3800のGitHubリポジトリが盗まれた件を報じてきた。今回、攻撃者が選んだのはClaude Codeという名前だ。導入数が多く、ユーザーもターミナルやファイルの権限を許可することに慣れているため、なりすましの見返りが大きい。
CursorやWindsurfのようにVS Codeをベースに作られたエディターは、Microsoft公式の拡張機能マーケットを直接利用できない。Open VSXに接続するか、独自の配布経路を用意するしかなく、審査や署名の仕組みは各社でまちまちだ。Anthropicはこの件について公式にコメントしておらず、偽バージョンがどのようにして公式の発行者名義で掲載されたのかもCursorは説明していない。この点が埋まらない限り、他の人気拡張機能も同じ手口でなりすまされる可能性がある。
中国の開発者にとっても無関係ではない。Cursorの利用者は多く、社内ネットワークのマシンにこの種のエディターを入れている例も少なくない。10月29日前後にClaude Codeの拡張機能を更新したなら、上記の手順で確認するコストは小さい。
参考資料：Cursorセキュリティ告知(影響を受けるバージョン番号、ダウンロード時間帯、5000人の上限を確認)、CocoLoop、Cursor告知に添付された侵害指標リスト(ポート、再試行間隔、2種類のVSIXハッシュを確認)。