10月31日、The Decoderが「Malicious Claude Code extension in Cursor's marketplace attempted remote access and data theft」と題した記事を公開した。AIコードエディタ「Cursor」のマーケットプレイスに悪意ある偽のClaude Code拡張機能が約11時間にわたって公開され、最大5,000ユーザーに影響が及んだインシデントについて詳しく報告している。なお、Claude CodeとはAnthropicが提供するターミナル上で動作するAIコーディングエージェントであり、今回の偽拡張機能はその名称を騙ったものだ。Anthropicが今回の拡張機能の開発に関与した事実は一切ない。
Cursorマーケットプレイスに悪意ある偽拡張機能
最大5,000ユーザーが影響を受けた可能性がある。Cursorの公式発表によると、改ざんされたClaude Code拡張機能がVS Code互換のCursorマーケットプレイス上に約11時間にわたって公開されていた。
Cursorは拡張機能の発見後、即座に当該拡張機能を削除し、マーケットプレイス全体を一時オフラインにした。プロバイダーと連携してマルウェアを無効化し、追加リスクがないことを確認した後、マーケットプレイスは再開された。Cursorは「他の拡張機能への影響はなかった」としている。
何が盗まれようとしていたか
この偽拡張機能が試みたのは、以下の情報の窃取だ。
- ホスト名
- ユーザー名
- オペレーティングシステム情報
- パブリックIPアドレス
さらに、攻撃者によるリモートアクセスの確立も試みていた。ただしCursorによれば、この遠隔操作の試みは多くの環境では失敗していた可能性がある。元記事では成功・失敗の断定は避けられており、権限要件やユーザー環境によって結果が異なった可能性が示唆されている。
サプライチェーン攻撃の典型的な手口
今回の手口は、開発者ツールのエコシステムを狙った「サプライチェーン攻撃」の典型例だ。信頼されたマーケットプレイスに正規ツールを装った悪意あるパッケージを紛れ込ませ、開発者の環境に侵入するこの手法は、npmやPyPIでも繰り返し確認されており、開発者コミュニティにとって長年の課題となっている。
AIコーディングツールは2024年以降、急速に開発者への普及が進んでいる。Cursorはその中でも特に利用者数が多く、Claude CodeはAnthropicが提供するターミナル向けコーディングエージェントとして注目度が高い。こうした「旬のツール名」を騙った拡張機能は、開発者が業務効率化のために手軽にインストールしようとする心理を利用しており、被害に遭いやすい構造がある。
VS Code系のエディタが採用するマーケットプレイス型の拡張機能配布モデルは、エコシステムの拡張性を高める一方で、審査の抜け穴を突かれるリスクを内包している。今回のケースでは発見から削除まで11時間を要しており、審査・監視体制の強化が改めて問われる形となった。
対処方法
Cursorマーケットプレイスから当該拡張機能をインストールした可能性がある場合は、以下を確認することが推奨される。
- 拡張機能の開発者がAnthropicまたは公式ソースであることを確認する
- 不審な通信や見覚えのないプロセスが起動していないか確認する
- 必要に応じて拡張機能を削除し、認証情報の変更を検討する
Cursorは現在、マーケットプレイスを再開しており、今回の件に関係する拡張機能は除去済みだとしている。また、今後の再発防止に向けた対策についても検討を進めているとされる。
詳細はMalicious Claude Code extension in Cursor's marketplace attempted remote access and data theftを参照していただきたい。
