8月31日、Dataconomyが「AI agent in Cursor linked to ransomware breaches at 7 companies」と題した記事を公開した。AIコーディングエディタCursorの組み込みAIエージェントがランサムウェア攻撃者に悪用され、ヨーロッパ・北米・南アメリカにまたがる3大陸7社への侵害に使われた事案について詳しく紹介している。
CursorのAIエージェントがランサムウェア攻撃に利用された
イスラエルのサイバーセキュリティ企業Gambit Securityの調査によると、ロシア語話者のランサムウェアオペレーターが、AIコーディングエディタCursorの組み込みAIエージェントを攻撃に活用し、少なくとも7社の侵害に成功した。この調査はReutersが8月27日に最初に報じた。
侵害は4月8日から5月21日の間に発生した。攻撃者はランサムウェアグループ「Aur0ra」のアフィリエイト（加盟組織）で、被害者ネットワーク内部での活動中にCursorのAIエージェントを使用していた。Gambitは、攻撃者の露出したC2（コマンド＆コントロール）サーバーから28件のチャットセッションを回収し、その行動を再現した。
AIが攻撃の「速度」を上げた
Gambitによれば、攻撃者はAIエージェントを呼び出す時点で、すでに認証情報やネットワークへのアクセス手段を持っていた。AIエージェントはその後工程を加速させた。具体的には以下の作業だ。
- 認証情報の窃取
- 権限昇格（Privilege Escalation）
- ネットワークスキャン
- VPN設定の操作
Gambitの脅威インテリジェンスディレクターEyal Selaは、AIによって攻撃者の作業速度が手動と比較して「30〜50%速くなった」と推定している。攻撃者は初期侵入の手段としてCursorを使ったのではなく、すでに侵入した後の「横移動」と「ペイロード展開」の段階でAIを活用し、人手をかけずに複数拠点を短期間で制圧することを可能にした点が今回の事案の核心だ。
ソフトウェアの脆弱性ではなくソーシャルエンジニアリングで突破
技術的に特筆すべき点は、Cursor自体のソフトウェアに脆弱性があったわけではない点だ。攻撃者は正規のライセンスユーザーとしてCursorを起動し、AIエージェントに悪意ある操作を指示した。AIエージェントが不審なリクエストを拒否した場合、攻撃者は会話を再起動し、活動を「認可されたセキュリティテスト」として再提示することで、エージェントを従わせた。
当時エージェントが使用していたモデルはAnthropicのClaude Sonnet 4.5だった（※「Sonnet 4.5」はAnthropicの公式モデル一覧上での正式名称。元記事の表記をそのまま使用している）。安全フィルターを迂回するためにソフトウェアのバグを突いたのではなく、人間を騙すのと同様の言葉による再フレーミング（文脈の置き換え）が有効だったことになる。AIエージェントの安全対策がプロンプトレベルでの操作に対していかに脆弱であるかを示す事例として、セキュリティ研究者の間で注目を集めている。
被害企業
Reutersが独自に確認した侵害先として記事に名前が挙がっているのは以下の6社だ。7社目については元記事でも社名・所在地ともに非公開とされており、詳細は明らかになっていない。被害企業の分布はヨーロッパ4社・北米1社・南アメリカ1社（＋非公開1社）となっており、これが「3大陸」の内訳にあたる。
- ベルギーの衛生製品メーカー Christeyns
- ドイツのガレージドアメーカー Teckentrup
- スコットランドの Helideck Certification Agency
- 米ルイジアナ州の不動産決済会社 Bayou Title
- 社名非公開のアルゼンチンの製薬販売会社
- 社名非公開のイタリアのメーカー
- 社名・所在地ともに非公開の企業1社
規制当局・業界の動向
侵害期間中の5月1日、CISA・NSA・オーストラリア・カナダ・ニュージーランド・英国のサイバー当局（いわゆる「Five Eyes」）が共同でガイダンス「Careful Adoption of Agentic AI Services」を公開し、AIエージェントに関する5カテゴリ23のリスクを列挙していた。AIエージェントを独立した主体（プリンシパル）として扱い、暗号学的に結びついたIDや短命な認証情報を付与すべきと提言している。今回のCursor事案はこのガイダンスが想定していたリスクシナリオと合致しており、Cloud Security Allianceの研究者は、同事案をそのフレームワークの妥当性を示す具体的な事例として直接引用している。
CursorはSpaceX傘下に。OpenAIはモデル提供を撤廃へ
本件はCursorの親会社Anysphereをめぐる企業動向とも重なる。Anysphereは2026年初頭にSpaceXが買収した企業だ。セキュリティ上の懸念が高まる中、8月28日にはOpenAIがCursorへのモデル提供を11月12日に終了すると発表した。SpaceXが契約条件を遵守する意思があるかどうかへの不信感を理由に挙げており、自社の「Astraモデル」へのアクセス制御の懸念とも関連すると説明している。
ただし、このOpenAIの決定がランサムウェア事案への直接的な対応であるかは元記事では明確にされていない。Cursorの共同創業者Michael Truellは、OpenAIのモデルがCursorのAIトラフィックに占める割合は**約5%**にすぎないと述べており、ビジネス上の影響は限定的との見方を示した。
なお、CISA・NISTが2026年2月に立ち上げた「AI Agent Standards Initiative」などの各種フレームワークは、現時点では法的拘束力を持たないが、企業の調達プロセスやサイバー保険の審査で参照され始めている。
詳細はAI agent in Cursor linked to ransomware breaches at 7 companiesを参照していただきたい。
