Cursor の発表：10 月 29 日の太平洋時間午前 2:27 から午後 1:35 まで、同社の VS Code 拡張機能マーケットプレイスで提供されていた Anthropic.claude-code の 2.1.312 および 2.1.313（macOS、Windows 版）は、Anthropic が開発したものではなく、悪意を持って改変されたバージョンでした。プラグインは読み込まれると、ホスト名、ユーザー名、OS、ホームディレクトリ、環境変数名、Git メールアドレス、パブリック IP アドレスを攻撃者に送信し、攻撃者の SSH 公開鍵（コメント：svc-telemetry）を authorized_keys に書き込み、ローカルマシンの SSH を有効化し、リバーストンネルを確立しようと試み、LaunchAgent またはタスクスケジューラを用いて起動時に自動実行されるように設定していました。Cursor は該当バージョンを削除し、マーケットプレイス全体を一時的に停止して鍵のローテーションを行った後に再開しました。また、クラウドサービスプロバイダーと連携して攻撃者のサーバーを停止しました。
信頼度：高（100） · イベント発生時刻 2026-10-29
理由
- これは AI プログラミングツールの配布チャネルに対するサプライチェーン攻撃です。Ars Technica が引用した Phorion および独立研究者 Kevin Beaumont によれば、悪意のあるバージョンは Anthropic の公式認証アカウントから Cursor 上で公開され、正規のバージョンを上書きしました。Cursor は拡張機能をデフォルトで自動更新するため、ユーザーが何も操作しなくても感染する可能性があります。攻撃者がこのアカウントをどのようにして入手したかについては、Cursor も Anthropic もまだ説明していません。
- プラグインは IDE の権限で動作し、ローカルファイル、ソースコード、開発ツールを読み取ることができます。Phorion の分析によると、環境変数の「名前」のみ（KEY、TOKEN、SECRET、AWS などに一致し、最大 40 個）を収集し、値は取得していません。これは、どのマシンにクラウド認証情報や API トークンが存在するかを把握し、その後の攻撃で標的を選定しやすくするためです。
- コードには欠陥があります。SSH サービスの有効化には管理者権限が必要であり、多くの macOS および Windows マシンではこのステップが失敗するため、攻撃者はトンネル経由でログインできません。しかし、公開鍵の追加、自動起動スクリプトの設定、ホスト情報の送信は完了するため、公式ではいずれの場合でもクリーンアップを行うよう求めています。
対処法
- 10 月 29 日の上記時間帯に、Cursor 拡張機能マーケットプレイスからこのプラグインをインストールまたは更新した場合：macOS / Linux では
grep -qs svc-telemetry ~/.ssh/authorized\_keysを実行して確認してください（Windows では発表文に記載されている PowerShell コマンドを使用）。該当するエントリが見つかれば、影響を受けています。 - 影響を受けたマシンは、Cursor の発表に従って対処してください。公式の remediate-macos.sh（root ではなく一般ユーザーとして実行）または remediate-windows.ps1（管理者権限付き PowerShell）をダウンロードし、プラグイン、自動起動項目、トンネルプロセス、公開鍵を削除してください。単にプラグインをアンインストールするだけでは不十分です。その後、信頼できるデバイスから、このマシンでアクセス可能な認証情報やセッションをローテーションし、必要に応じて OS を再インストールしてください。発表文および Phorion の分析には、IP アドレス、ファイルパス、ハッシュ値などの侵入指標（IOC）が記載されており、全社的な調査に使用できます。
リスク
- 「最大 5000 人のユーザーが影響を受けた」という情報は、The Decoder および Ars Technica が Cursor の見解を伝えたものであり、Cursor の公式発表ページにはこの数値は記載されていません。
- 影響を受けたバージョンに関する情報には変更がありました。Phorion は当初 2.1.313 のみを記載していましたが、10 月 31 日に Cursor の更新後の発表に基づき 2.1.312 および 2.1.313 に修正しました。Phorion は悪意のあるコードに Linux 向けのロジックも含まれていると述べていますが、Cursor の発表では macOS と Windows のみが対象として挙げられています。
- Ars Technica が記事を作成した時点では、Anthropic はユーザー向けの発表を行っていません。アカウントが侵害された原因や、他の配布チャネルへの影響の有無は開示されていません（Cursor は、他のバージョンや公式配布チャネルが影響を受けた証拠はないと述べています）。