Cursor は、開発者のマシンに永続的な SSH バックドアをインストールするようにパッケージが変更されていたことを発見した後、Anthropic の Claude Code 拡張機能の悪意のあるバージョンを拡張機能マーケットプレイスから削除しました。 10月29日に公開されたセキュリティ通知の中で、Cursor氏は、トロイの木馬化されたパッケージ（Anthropic.claude-codeバージョン2.1.313としてリストされている）はAnthropicによって開発されたものではなく、最大で5,000人のユーザーが影響を受けたと述べた。ロイター通信によると、同社はこうしたユーザーに直接連絡を取っているという。

この開示は、開発者が現在ソースコード、資格情報、シェルアクセスを信頼しているAIコーディングツール自体がサプライチェーンのターゲットであることを思い起こさせる不快なものだ。 AI 開発者ツールを中心に構築されるセキュリティのプレッシャーに関する詳細については、AI 業界の報道 を参照してください。

2 時間の配布時間枠

Cursor のタイムラインによると、拡張機能の悪意のあるバージョンは太平洋時間の午前 2 時 27 分頃から午後 1 時 35 分頃までの間、マーケットプレイスで入手可能でした。太平洋時間10月29日 — 約11時間の時間枠。その期間中に、Claude Code 拡張機能のバージョン 2.1.313 をインストールまたはアップデートした開発者は、Anthropic によって作成されたコードではなく、改ざんされたパッケージを受け取りました。

Cursorは、悪意のあるバージョンを検出するとすぐに市場から削除し、さらなる配布をブロックしたと述べた。その後、同社はさらに一歩進んで、十分な警戒を理由に拡張機能マーケットプレイス全体を一時的に閉鎖した。

悪意のある拡張機能が何をしたか

Cursor のセキュリティ チームは、拡張機能の動作を異常に詳細に文書化しました。インストールされると、パッケージはいくつかの段階を経て永続的なバックドアを確立しようとするコードを実行します。

  • 偵察 この拡張機能は、マシンのホスト名、ユーザー名、オペレーティング システム、アーキテクチャ、ホーム ディレクトリ パス、環境変数名、作業ディレクトリ、構成された Git 電子メール、およびパブリック IP アドレスを収集しました。
  • SSH キー インジェクション。 攻撃者が制御する SSH キーをマシンの「authorized_keys」ファイルに追加し、ローカル SSH サービスを有効にして、攻撃者が制御するサーバーへのリバース SSH トンネルを開こうとしました。
  • 永続性 バックグラウンド スクリプトは、約 60 秒ごとにリバース トンネルを再試行しました。 macOS では、マルウェアは LaunchAgent を通じてトンネルを永続化しようとしました。 Windows では、起動スクリプトのフォールバックを使用して、SYSTEM として実行されているスケジュールされたタスクを登録しようとしました。
  • ビーコン。 感染したマシンは、HTTP POST リクエストを介して、ポート 8099 の「/beacon」エンドポイントにホストの詳細とバックドアのステータスを報告しました。

被害が限定的である理由

重要な緩和要因が 2 つあります。まず、ローカル SSH サービスを有効にするには管理者権限が必要ですが、悪意のある拡張機能はほとんどの macOS および Windows マシンでは管理者権限を持っていません。 Cursor 氏は、エディターが管理者特権で起動されるという極めて特殊な状況以外では、悪意のあるコードのエラーによりこのステップが失敗する原因となり、攻撃者がそれらのホスト上のトンネルを介してログインできなかった可能性が高いと指摘しました。ただし、この拡張機能は攻撃者の SSH キーを追加し、永続化メカニズムをインストールし、ホストの詳細を攻撃者のサーバーに送信することに成功しました。

2 番目に、攻撃者のインフラストラクチャは現在オフラインです。カーソル氏によると、コマンドアンドコントロールサーバーをホストしているクラウドプロバイダーと協力してサーバーを停止させたため、リバースシェルとホスト詳細ビーコンは機能しなくなったという。

同社はまた、拡張機能の他のバージョンや Anthropic の公式配布チャネルが影響を受けたという証拠はないと述べた。

マーケットプレイスのシャットダウン、監査、再構築

Cursor の応答は、単一の不良パッケージを削除するだけではありませんでした。同社は、マーケットプレイスへのアクセスを完全に監査し、他の拡張機能が改ざんされていないことを確認し、キーをローテーションし、マーケットプレイスのインフラを再構築してオンラインに戻した、と述べた。公開期間中にバージョン 2.1.313 をインストールまたはアップデートした開発者は、Cursor が通知とともに公開した修復手順と侵害の兆候 (SSH アクティビティ、ファイルと永続化メカニズム、プロセス アクティビティを対象とする) に従うことが求められています。

AI ツール エコシステムに対する警告

この事件は、AI 支援開発の経済学が攻撃者の計算をどのように変えたかを示しています。人気のある拡張機能の単一のトロイの木馬化バージョンは、数時間存続するだけで、数千の開発者ワークステーション (通常、ソース コード、クラウド認証情報、運用システムへのアクセスを保持するマシン) に到達する可能性がありました。

また、公式の流通チャネルとサードパーティのマーケットプレイスの違いも強調しています。 Anthropic の Claude Code 拡張機能は確立されたチャネルを通じて配布されていますが、Cursor は VS Code ベースのエディタ用に独自のマーケットプレイスを運営しており、侵害されたのはそのマーケットプレイスのリストでした。 AI コーディング アシスタントがソフトウェア業界全体で標準装備になるにつれ、AI コーディング アシスタントを配布するレジストリの整合性がそれ自体でセキュリティ境界となり、今週まで監査しようと考えていた組織は比較的少数でした。

影響を受ける最大 5,000 人のユーザーについては、Cursor の修復チェックリストが当面の優先事項として実行されます。他のすべての人にとって、このエピソードは、どの拡張機能が開発環境に深くアクセスしているかを確認し、更新プログラムをサイレント インストールする前によく考えるべき理由になります。
---

AI の先を行く

最新の AI ニュース、分析、画期的な情報をすべて 1 か所で入手できます。

AI ニュースをもっと読む→