AI拡張機能のバックドア事案（Cursor Marketplace）で確認すべきこと：開発者向けチェックリスト

Posted at 2026-11-02

title: "AI拡張機能のバックドア事案（Cursor Marketplace）で確認すべきこと：開発者向けチェックリスト"
tags:
  - セキュリティ
  - Cursor
  - ClaudeCode
  - VSCode
  - サプライチェーン攻撃
private: false

---

はじめに

2026年10月30日、セキュリティ企業のPhorionが、Cursor Marketplaceで配布されていた「Claude Code for VS Code」拡張のバンドルにバックドアが含まれていたと報告した（※1）。Hacker Newsでは993ポイント・553コメントを集めている（2026-11-02時点、第三者ダイジェスト経由・※2）。

本記事は、Phorionの報告に基づき、開発者が自分の環境で確認すべきことを手順にまとめたものである。筆者は検体の解析や再現をしていない。内容はすべて報告書の整理であり、攻撃手法の再現手順は載せない。確認や対処には、必ず報告書の原文と、Cursorの公式なセキュリティ通知を参照してほしい。

何が起きたか

報告書によると、要点は次のとおりである（※1）。

項目	内容
影響を受けた版	2.1.312 と 2.1.313
配布元	Cursor Marketplace（当初はVS Code Marketplaceと記載されたが、報告書で訂正）
公開	2026-10-30 05:30 UTC（初版）。版の範囲は10-31 00:43 UTCに2.1.312まで拡大
実行タイミング	拡張の `extension.js` が読み込まれた時点（`activate` の前）
ユーザー操作	不要
ベンダーの対応	Cursorが該当版をマーケットプレイスから削除し、セキュリティ通知を出した

報告書は、Anthropic側の対応については記載していない。また、これは拡張機能の配布経路で起きた事案であり、モデルやAPIそのものの問題ではない点に注意したい。

攻撃の流れ

図1：報告書の記述から筆者が作成した流れ。細部は原文を参照

拡張の読み込み時に、不正なコードが実行される。
攻撃者の公開鍵が ~/.ssh/authorized_keys に追加される。
外部サーバーへの逆SSHトンネルで、被害者のSSHに外部から到達できるようになる。
macOS、Linux、Windowsそれぞれの方法で永続化される。
ホスト名、ユーザー名、OS、グローバルなGitのメールアドレス、公開IPと、秘密情報らしき環境変数の「名前」が、平文HTTPで送られる。値は送られないと報告されている。

報告書は、macOSでは設定確認コマンドの不具合により、SSHのリモートログインが無効のままだと、外部からの接続が成立しない場合があると指摘している。ただし、後でリモートログインを有効にすれば、バックドアは機能する。影響が限定的に見えても、安心材料にはならない。

チェックリスト

1. 拡張のバージョンを確認する

自分の環境に、該当する拡張が入っていたかを確認する。

Cursorまたはエディタの拡張機能一覧で、Claude Codeの拡張のバージョンを確認する。
2.1.312または2.1.313を使った記憶がある場合は、インストール履歴が残っていなくても、侵害の可能性を前提に動く。

2. 「アンインストールしただけ」では終わらない

報告書は、拡張を削除してもバックドアは消えないと明記している（※1）。永続化の仕組みが、拡張の外に作られるためである。

3. 痕跡の確認と除去（報告書の記載に基づく）

具体的な識別子（鍵の指紋、ファイルのハッシュ、通信先）は、報告書のIndicatorsの節にある。本記事では転載しないので、原文を見てほしい。確認の観点だけを挙げる。

~/.ssh/authorized_keys に、身に覚えのない鍵がないか。報告書には、コメントが svc-telemetry の鍵の記載がある。
macOSでは、com.apple. で始まるのにAppleのものではないLaunchAgentがないか。
~/.config/ 以下に、隠しファイルの不審なスクリプトがないか。
Linuxでは @reboot のcronエントリ、Windowsではタスクスケジューラやスタートアップフォルダ。
ssh や autossh が、リモートポートフォワード付きで常駐していないか。
リモートログインが、意図せず有効になっていないか。

重要：侵害が疑われる場合は、自己判断で作業を進めず、所属組織のセキュリティ担当へ連絡する。 端末の隔離、ログの保全、鍵の失効は、手順と順序が大切である。

4. 認証情報のローテーション

報告書は、影響を受けたアカウントがアクセスできる認証情報のローテーションを推奨している。特に、環境変数に入れていたAPIキーやトークンを優先する。

クラウドのアクセスキー
GitHubなどのトークン
AIサービスのAPIキー
SSH鍵

環境変数の「値」は送られていないと報告されているが、名前が送られている以上、攻撃者はどの秘密が存在するかを把握している。見直しを勧める。

5. 検知の観点

組織でログを監視しているなら、次の挙動を探せる（※1）。

IDEの補助プロセスが、authorized_keys に書き込む。
Apple以外のプロセスが、com.apple.* のLaunchAgentを作る。
-R *:0:localhost:22 を伴うSSH接続。
ローカルホストから、特定の鍵でSSHログインする。

再発防止：拡張機能を入れる前に

今回の事案から、日常の運用で取り入れやすい対策を挙げる。

AI系拡張の入手元を絞る。 公式の配布元を確認し、発行元の表示を見る。マーケットプレイスの名前が似ていても、発行元が同じとは限らない。
自動更新の範囲を決める。 業務用の端末では、拡張の自動更新を止めて、更新前に確認する運用もある。
拡張の権限を意識する。 拡張はIDEと同じ権限で動く。つまり、ソースコード、SSH鍵、環境変数に届く（※1）。
秘密情報を環境変数に置きすぎない。 シークレット管理ツールや短命のトークンを使えば、漏れたときの被害を小さくできる。
開発端末の監視。 authorized_keys の変更や、不審な常駐プロセスを検知できるようにしておく。

今回の事案で分かっていないこと

侵害の経緯（どの段階で不正なコードが混入したか）は、取得した報告書では説明されていない。
実際の被害件数。
Anthropicの見解や対応。

これらは、続報や公式の通知で確認が必要である。

組織で対応する場合の流れ

個人の開発端末だけでなく、チームや組織で対応する場合の進め方も整理しておく。

対象の洗い出し。 該当する拡張を、いつ、誰が、どの端末で使っていたかを集める。拡張の導入記録が残っていない場合は、利用者への聞き取りが必要になる。
端末の切り分け。 疑いのある端末は、ネットワークから切り離す。電源を落とすと痕跡が失われる場合があるため、判断はセキュリティ担当に任せる。
認証情報の優先順位。 影響範囲が広いもの（クラウドの管理者権限、リポジトリへの書き込み権限、本番環境の鍵）から、順に失効と再発行を行う。
ログの確認。 外部へのSSH接続や、平文のHTTP通信が、該当期間に発生していないかを、プロキシやEDRのログで調べる。
周知と再発防止。 拡張機能の許可リストの導入や、配布元の確認ルールを決めて、全員に伝える。

評価

AIコーディングツールの拡張は、ソースコードにも環境変数にも触れられる。その配布経路が狙われたことは、AI駆動開発が広がるほど、起こり得る事態だと感じる。今回、報告書が検知の観点と除去の手順を丁寧にまとめているのは、現場にとって助かる。一方、筆者が検証していない以上、本記事を唯一の手順書にしないでほしい。まず原文と公式の通知を確認し、疑いがあれば組織の窓口に相談することを勧める。

まとめ

Cursor Marketplaceで配布されたClaude Code拡張の2.1.312と2.1.313に、SSHのバックドアを仕込む不正コードが含まれていたと報告された。拡張の削除だけでは消えないため、痕跡の確認、永続化の除去、鍵の削除、認証情報のローテーションが必要になる。詳細な識別子は、Phorionの報告書の原文で確認してほしい。

※本記事の記載内容は筆者個人の見解であり、所属する会社や組織の立場や方針とは一切関係ありません。

筆者情報

【Tomcat-周】｜AI/AX/AIセキュリティ専門家

AI戦略洞察、AI駆動開発の方法論設計と現場で回る仕組みづくりをしています。
noteで戦略洞察 / Zenn・Qiitaで技術・方法論を書いています。
AIセキュリティ・AIコンサル・AIエージェント開発・AI活用・AI駆動開発教育、AI人材育成サービスを一体で提供。

X: @ZY20240528
LinkedIn: tomcat-zhou
Facebook: zhou yi
note: tomcat-周
zenn: tomcat-周