AnthropicのCursor拡張機能が約12時間バックドア化
原題: Anthropic VS code extension on Cursor backdoored for nearly 12 hours
なぜ重要か
開発者向けAIツールの公式配布チャネルが標的となった今回の事案は、AI開発エコシステム全体のサプライチェーンリスクの深刻さを改めて示している。
2026年10月30日、AI企業AnthropicのClaude向けVS Code拡張機能がCursorのマーケットプレイス上でバックドアを仕込まれ、最大5,000人の開発者のマシンが影響を受けた。悪意あるバージョン2.1.313はAnthropicの公式アカウントから配布され、約12時間にわたって公開されていた。Anthropicはインシデント発生時点で顧客への公式通知を行っていない。
今回の事案は、サプライチェーン攻撃の典型例だ。攻撃者はAI開発ツールメーカーCursorにあるAnthropicの公式アカウントに不正アクセスし、バックドアを含む拡張機能バージョン2.1.313を配布した。Cursorはデフォルトで拡張機能を自動更新するため、ユーザーが意識しなくても悪意あるバージョンが自動的にインストールされた可能性がある。
セキュリティ企業PhorianのCTO兼共同創業者Luke Robertsは、「攻撃者は公式配布チャネルへのアクセスを取得したサプライチェーン侵害だった」とArs Technicaに語った。独立研究者のKevin Beaumontによると、AnthropicはCursorが悪意あるバージョンを公開してから数時間後に修正版2.1.314をプッシュした。
Cursorが公開した情報によると、このバックドアの機能は多岐にわたる。まず、ホスト名・ユーザー名・OS・アーキテクチャ・ホームディレクトリパス・環境変数名・作業ディレクトリ・Git設定メールアドレス・パブリックIPアドレスなどのシステム情報を収集する。次に、攻撃者が管理するSSH公開鍵をauthorized_keysに追加し、ローカルSSHサービスを有効化した上でリバースSSHトンネルを開こうとする。さらに、macOSではLaunchAgent、WindowsではスケジュールタスクでSYSTEM権限での実行を試みることで、このトンネルを永続化しようとする仕組みも組み込まれていた。バックグラウンドスクリプトは約60秒ごとにトンネル再接続を試みる。
Phorianは、環境変数名の窃取によって攻撃者はクラウド認証情報やAPIトークンの有無を素早く把握し、追跡攻撃の優先ターゲットを絞り込める状態になっていたと指摘する。ただし悪意あるコードにバグが含まれていたため、Cursorが管理者権限で起動されているという極めてまれな状況を除き、SSHバックドアのステップは実際には失敗したとCursorは説明している。
Cursor拡張機能はIDEの権限で動作するため、インストールに成功していた場合はローカルファイル・ソースコード・開発ツール全体へのアクセスが可能だった。攻撃者がAnthropicの公式アカウントをどのように掌握したかは、CursorもAnthropicも現時点で明らかにしていない。