Claude公式拡張機能がCursorで侵害、最大5000人に影響もAnthropicは未公表

AI支援開発ツールを手がけるCursorは金曜日、同社のマーケットプレイスで配布していたAnthropic公式のVS Code拡張機能がバックドア化されていたと明らかにしました。複数の情報源によると、この悪意のあるバージョンは最大5,000人の開発者に影響した可能性があるといいます。

問題のバージョンは2.1.313で、ユーザーがダウンロードした際や、システムが自動的に取得・インストールした際に影響を受けたとみられます。独立研究者のKevin Beaumont氏と、セキュリティ企業PhorianのCTO兼共同創業者によると、この2.1.313はAnthropicの公式アカウントを通じて配布されていました。Beaumont氏によれば、Anthropicはこのバージョンが公開されてから数時間後に、修正版となる2.1.314を公開しています。

一方で、攻撃者がどのようにしてAnthropicの公式アカウントの制御を奪ったのかについては、CursorとAnthropicのいずれもこれまでのところ説明していません。Anthropicは現時点で、この件について顧客への公表を行っていないと報じられています。

今回の問題は「サプライチェーン攻撃」と呼ばれる手口に当たります。開発者が直接書いたコードではなく、利用している外部のツールや配布経路そのものを攻撃者が乗っ取り、正規の更新に見せかけて悪意あるコードを送り込む手法です。Phorianの共同創業者Luke Roberts氏は、今回の事案について「攻撃者が公式の配布チャネルへのアクセスを得た、サプライチェーンの侵害だった」と説明しています。

Cursorの拡張機能は初期設定で自動更新される仕組みになっており、ユーザーが設定を変更しない限り、新しいバージョンは利用者の操作なしに適用されます。さらにCursorの拡張機能は、統合開発環境IDEが持つ権限でそのまま動作するため、バックドアが仕込まれたバージョンがインストールされると、ローカルのファイルやソースコード、開発用ツール一式に攻撃者がアクセスできる状態になります。

Cursor側の説明によると、悪意のあるコードは攻撃者が管理するSSHキーを追加し、ローカルのSSHサービスを有効化したうえで、永続的に接続できるバックドアと、逆向きのSSHトンネルを開くよう作られていました。このコードはWindows、macOS、Linuxのいずれでも動作するよう書かれていたといいます。