Cursorの拡張機能に悪意あるコード、最大5000人に影響

AIコードエディタ「Cursor」のマーケットプレイスに、悪意ある改ざんが施されたClaude Code拡張機能が公開され、最大5,000人のユーザーに影響が及んだ。この拡張機能はおよそ11時間にわたってマーケットプレイス上に存在し、ユーザーデータの窃取とリモートアクセスの設定を試みていた。Cursorは問題を確認したのち、マーケットプレイス全体を一時的に閉鎖した。

Cursorは、AIを活用したコード補完や編集支援を売りとするコードエディタで、開発者を中心に利用が広がっている。マーケットプレイスはその機能を拡張するための公式の配布場所にあたり、ユーザーは比較的安全な前提のもとでさまざまな拡張機能をインストールする。今回問題となったのは、AnthropicのAIアシスタント「Claude」と連携するための拡張機能「Claude Code」を模倣した、改ざんされた偽のパッケージだったとみられる。

この拡張機能が行おうとしていた動作は大きく2つある。1つはユーザーのデータを外部に送信するデータ窃取、もう1つは攻撃者がリモートから端末を操作できるようにするリモートアクセスの確立だ。いずれも成功した場合、開発者の作業環境や機密情報が外部に漏れるリスクがあった。Cursorは事態を把握した後、マーケットプレイス全体を一旦オフラインにし、安全が確認されてから再開した。

こうした攻撃手法は「サプライチェーン攻撃」と呼ばれる。正規のソフトウェアや配布経路に見せかけて悪意あるコードを紛れ込ませるもので、ユーザーが信頼しているパッケージ管理や拡張機能ストアを狙う点が特徴だ。開発者向けのツールは多くの機密情報を扱うため、攻撃者にとって価値の高い標的になりやすいという見方ができる。

今回の事案で注目すべきは、被害が現実化する前にプラットフォームが対応に動いた点だ。ただし、11時間という公開時間は決して短くなく、その間にインストールしたユーザーが意図せずリスクにさらされていた可能性は否定できない。Cursorが安全確認後にマーケットプレイスを再開したことは、迅速な判断といえる一方で、問題が検知される前に悪意ある拡張機能が公開され続けていた経緯は、事前の審査体制のあり方を問い直す契機になりうる。

AI開発ツールの利用が急速に広がる中、その周辺エコシステム、とりわけ拡張機能やプラグインのセキュリティが改めて問われている。ユーザー側としては、拡張機能をインストールする際に提供元の確認や公開日・レビュー数などを慎重に確認する習慣が、リスク軽減につながると位置づけられる。プラットフォーム側には、公開前の審査プロセスの強化や、異常な通信を検知する仕組みの整備が求められるという見方もできる。