Cursor、AI学習用に保存したコーディング履歴が侵入の起点に　偽Claude Code拡張を配布

MicrosoftのオープンソースであるVisual Studio Codeを基盤にしたAIコードエディター、Cursorは、最近の情報漏えいが、多くのユーザーが思いもよらないところから始まったと説明している。AIモデルの学習用に同社が保存していた、過去のコーディングセッションだ。その一部には、パスワードやAPIキーが残っていた。攻撃者はそれらを足がかりにCursorのシステム内部へ侵入し、最終的にAnthropicのClaude Code拡張機能にバックドアを仕込んだコピーを、Cursor独自の拡張機能マーケットプレイスに紛れ込ませた。

AIアシスタントに秘密情報を入力する人にとって、問題の核心はこの一連の流れにある。チャット画面に入力したキーは、セッションを終了しても消えるわけではない。ツールが会話を保存すれば、その秘密情報はデータセットに残り、そこへアクセスした者も同じキーを手にすることになる。

Cursorのインシデント報告によると、問題はモデルの学習と推論のためにCursorが利用していた外部企業、Fireworks AIから始まった。攻撃者はCursorがFireworksに発行したアクセスキーを入手した。Cursorによれば、このキーはFireworks側で露出していた。攻撃者はそれを使い、両社が共有していた読み取り専用のストレージバケットをコピーした。中には主に2025年のコーディングエージェントのトレースが含まれており、Cursorがユーザーデータを学習に使わないようにする設定「プライバシーモード」を有効にしていなかったセッションの記録が対象となった。Cursorによれば、トレースが露出したユーザーは全体の0.05％未満で、API認証情報が露出した顧客は0.01％未満だった。

残されていた認証情報によって、攻撃者はいくつものCursor運用中のサービスとしてのソフトウェア（SaaS）ツールにアクセスできるようになった。そこから、アーカイブされた非本番用のソースコード、カスタマーサポートのメール、利用状況の指標や連絡先情報、一部のAIエージェントとの会話の要約、さらに顧客が過去にCursorのサポートチームへ共有した認証情報にまで到達したと、BleepingComputerは詳しく報じている。盗まれた認証情報の一つを使えば、Cursorの拡張機能マーケットプレイスの背後にあるキャッシュへ公開できた。

こうして偽のClaude Codeが持ち込まれた。改ざん版のバージョン番号は2.1.312と2.1.313で、約11時間にわたって公開されていた。Cursorは、ダウンロードをリクエストした最大5,000人に悪意あるビルドが配布された可能性があると見積もっている。この拡張機能は、攻撃者のSSHキーを仕込み、開発者のコンピューターへのリモートアクセスを維持しようとするコードを実行した。Cursorは、Anthropicがこのコピーを公開したわけではなく、脆弱性もAnthropic製品には存在しなかったと強調している。また、Cursorが拡張機能を取り込むオープンなマーケットプレイス、Open VSXにもマルウェアは掲載されていなかった。

報告には、なお明らかになっていない点もある。最大5,000台のうち、実際にバックドアが機能する状態になったコンピューターが何台だったのか、Cursorは公表していない。BleepingComputerによれば、セキュリティ研究者はコード上のミスを見つけており、SSHがあらかじめ有効になっていないWindowsやmacOSのコンピューターでは、多くの場合、攻撃が止まった可能性が高い。そのため、最も危険にさらされたのは、すでにSSHが有効になっていたコンピューターだ。同社はまた、学習パートナーに渡したデータの中で、なぜ認証情報が伏せられずに残っていたのかも説明していない。これは、ユーザーから学習するあらゆるAIコーディングツールにとって、真に重要な教訓だ。プライバシーモードを有効にした人は保護されたが、初期設定のままでは、それ以外のユーザーのセッションが学習に利用できる状態だった。

標的になったのはCursorだけではない。セキュリティ企業Wizは、10月にインシデントを公表したAI開発者向けプラットフォームが少なくとも9つあったと集計し、攻撃者が有料AIモデルの利用を可能にする保存済みキーを探し回ったこの一連の事態を「Black October」と呼んでいる。Fireworks自身も複数の侵害を公表し、Notionは、一部のワークスペースにおけるAIチャットの記録がFireworksを通じて露出したと明らかにした。盗まれたアクセス権は転売されるか、被害者に請求されるAI利用料金を発生させるために使われる。クラウドホスティング企業Railwayでは、盗まれた秘密情報が不正なAI利用に使われ、約74万ドルの請求が発生したとBleepingComputerは報じている。

Cursorによれば、推論トラフィックはすべてFireworks経由から切り替え、社内システムの認証情報をすべて更新し、拡張機能マーケットプレイスを再構築したうえで、本番環境のインフラを再デプロイした。プライバシーモードのユーザー、Cursorアプリ、公式アップデートへの影響はなく、リリース署名キーも露出していない。サービスは世界中で同じように提供されているため、対処方法はどの地域でも変わらない。10月29日にCursorのマーケットプレイスからClaude Code 2.1.312または2.1.313をインストール、あるいはアップデートした人は、同社が案内する修復手順に従う必要がある。また、チーム管理者はCursorからメールで届いたキーの一覧を確認してほしい。

悪意ある拡張機能が公開されたのは10月29日で、Cursorが最初のセキュリティ通知を出したのは10月30日だった。同社が検知した攻撃者の最後の活動は、11月1日に阻止された。詳細なインシデント報告は11月13日に公表され、Cursorは新たな事実が判明した場合、影響を受けた顧客に直接連絡するとしている。開発者にとって、どんなパッチよりも単純で安全な前提がある。AIチャットに貼り付けたパスワードは、すでにどこか別の場所にも書き残されたものとして扱うべきだ。

タグ: Anthropic, サイバーセキュリティ, Claude Code, 情報漏えい, AIコーディングツール, Cursor