AIコーディングエディタの Cursor が10月29日、自社の拡張機能マーケットにAnthropicが作ったものではない「Claude Code」拡張が紛れ込んでいたと公表した。名前は本物と同じ「Anthropic.claude-code」、版は2.1.313。入れた人の端末に、攻撃者が遠隔から入れる裏口を仕込もうとする中身だった。

Cursorによれば、影響を受けた利用者は多くても5,000人。この版が入手できた時間帯は、米国太平洋時間（PT）の10月29日午前2時27分ごろから午後1時35分ごろまでの約11時間に限られる。日本時間にすると、10月29日の18時27分ごろから30日の5時35分ごろになる。

拡張機能とは、エディタに機能を足す小さなプログラムのことだ。AIが相手の話でも、今回壊れたのはAIの頭脳ではなく、エディタに足す部品の配られ方だった。

⚠ 情報の鮮度について
一次情報はCursor公式ブログの告知（2026年10月29日付）です。露出の開始から約1日が経過した時点の内容で、告知には続報の余地が残っています。誰が改ざんしたのか、実際に何台が侵害されたのかは、10月30日時点で公表されていません。Anthropicの見解は、報道の時点では確認できていません。
Section 01

Cursorの拡張機能マーケットで何が起きたか

Cursorの告知の題は「Security notice — malicious version of Anthropic.claude-code (2.1.313) identified in the Cursor Extension Marketplace」。Cursorは「この悪意ある版の拡張はAnthropicが開発したものではない」と書いている。名前だけを見れば、公式のものと区別がつかない。

Cursorの対応は、悪意ある版の撤去と配布の遮断、マーケット全体の一時停止とその再構築、アクセス記録の監査、自社の鍵の入れ替え、そして攻撃者のサーバーを置いていた事業者への連絡による停止だ。監査の結果、ほかの拡張に改ざんの形跡は見つからなかったとCursorは述べている。攻撃者のサーバーはすでに停止しているとも書いている。

10月29日 18:27頃（JST）

改ざん版の2.1.313が入手可能になる　PTでは午前2時27分ごろ。このあとマーケットから入れた、または更新した人が対象になる。

10月30日 5:35頃（JST）

入手できる時間帯が終わる　PTでは午後1時35分ごろ。ここまでの長さが約11時間8分にあたる。

影響は最大5,000人で、Cursorは該当者に直接連絡するとしている。OpenSourceMalwareが公表した調査をもとに、The Hacker Newsは経緯を伝えた。同誌は当初、別の配布元であるOpen VSXが侵害されたと書いたが、のちに訂正し、出どころはCursorのマーケットだったとしている。Anthropicは本物の修正版2.1.314を、Open VSXとMicrosoftのVS Code Marketplaceに出したという。

5,000人 影響を受けた人数の上限（Cursor発表）
約11時間 改ざん版が入手できた時間（2:27〜13:35 PT）
2.1.313 問題の版（修正版は2.1.314）
一言でまとめると──「公式と同じ名前の部品が、公式ではない中身で配られた」。入れた時間帯とマーケットが合う人だけが対象で、合う人は拡張を消すだけでは済みません。
Section 02

改ざん版は何をしようとしたのか

Cursorの告知によると、改ざん版は起動すると、まず端末の情報を集めた。ホスト名、ユーザー名、OS、CPUの種類、ホームフォルダ、環境変数の名前、作業フォルダ、Gitのメールアドレス、公開IPアドレスである。環境変数の名前はAPIキーなどの置き場所の手がかりになる。ただし、The Hacker Newsは、送られたのは名前だけで値は含まれていなかったと伝えている。

そのうえで、攻撃者が持つSSH鍵を端末に書き込み、端末のSSH機能を有効にし、端末から攻撃者のサーバーへ逆向きの通信路（リバーストンネル）を開こうとした。SSHは離れたコンピュータを遠隔で操作する仕組みで、鍵はその合鍵にあたる。逆向きの通信路とは、外から入れない端末でも、内側から外へつないでおけば、外の人が中へ入れるようにする手口を指す。

さらに、この仕掛けを消されても戻るように、macOSではLaunchAgent、Windowsではスケジュールタスクと起動時のスクリプトで約60秒ごとにやり直す常駐も試みている。Cursorは、見つけやすい目印として、承認済みの鍵一覧に「svc-telemetry」という名前の鍵が加わっていないかを挙げている。

改ざん版が試みたこと 管理者権限が無い端末では
SSH機能の有効化 多くの場合、失敗する
逆向きの通信路を開く 多くの場合、失敗する
攻撃者のSSH鍵の書き込み 失敗しても、鍵が残っている可能性がある
常駐の仕掛け 失敗しても、残っている可能性がある
端末情報の送信 送られた可能性がある

この表の読みどころは、下3行だ。Cursorは、SSHの有効化が失敗しても鍵と常駐は入っているかもしれず、端末の情報は送られているかもしれないので、「管理者権限が無いから大丈夫」とは言えないと書いている。ほかの追加の悪意あるプログラムが入った形跡は見つかっていないと報じられているが、逆向きの通信路が生きていれば、命令やファイルの受け渡しは可能だったという指摘もある。

Section 03

改ざん版Claude Code拡張を入れたか確かめる手順

対象になるのは、Cursorの拡張機能マーケットから、上の時間帯に 「Anthropic.claude-code」を入れた、または更新した人である。研究者は、自動更新を有効にしていれば、自分で操作していなくても入りうると指摘している。

  1. 拡張の版を見る。Cursorの拡張一覧で、Claude Codeが2.1.313になっていないかを確かめる。いまが2.1.314以降でも、入っていた時間があったなら、次の手順へ進む。
  2. 鍵の有無を見る。macOSなら、「~/.ssh/authorized_keys」というファイルに「svc-telemetry」という名前の鍵が無いかを探す。Windowsでは、利用者の「.ssh」フォルダと、管理者用の承認済み鍵のファイルが対象になる。
  3. 怪しい端末は先に隔離する。鍵や常駐の痕跡が見つかった端末は、ネットワークから切り離してから次へ進む。
  4. Cursorの除去スクリプトを使う。macOS用の 「remediate-macos.sh」 は、攻撃者の鍵、常駐の仕掛け、トンネルの処理、感染した拡張のフォルダを消す。Windows用には 「remediate-windows.ps1」 がある。macOS用はrootではなく影響を受けた利用者のまま、Windows用は管理者として開いたPowerShellで実行する。実行する前に中身を読み、取得元がCursorの公式告知から辿ったURLであることを確かめてほしい。
  5. 認証情報を入れ替える。その端末から届く範囲のAPIトークン、クラウドの鍵、デプロイ用の鍵を、感染していない別の端末から作り直す。
💡 更新だけで終わらせない理由
修正版の2.1.314に更新すると、これから入る拡張は正しくなります。しかし、すでに書き込まれた鍵や常駐の仕掛けは、更新では消えません。Cursorは、拡張を消すだけでは不十分な場合があり、端末の再構築が必要になることもあると述べています。心当たりがある端末は、更新より先に、鍵の確認と認証情報の入れ替えを済ませてください。

Cursorの告知本文と除去スクリプトは、Cursor公式ブログの告知から辿れる。問い合わせ先はsecurity@cursor.comとされている。

Section 04

AIを選ぶ側にとって、何が変わる話か

今回の件を読む軸は3つある。

01
名前は、中身を保証しない

Claudeのコーディング支援であるClaude Codeを、Cursorのようなエディタの中で使う人もいる。その入口の拡張が、Anthropicの名前のまま別物に差し替えられた。公式の名前が付いていることと、公式が作ったことは別である。

02
壊れたのは、AIではなく配布

報じられた範囲に、AnthropicのAIモデルやサーバーが破られたという記述は見当たらない※観測。改ざんされたのは、エディタに足す拡張の袋だった。どのAIが賢いかを比べても、この種の危険は比べられない。

03
AIの道具は、強い権限を持つ

AIエディタの拡張は、ファイルの読み書きやコマンドの実行といった強い権限の中で動く。Downloadsに置いた指示書でCodexやClaude Codeが乗っ取られうる件と同じく、道具が強いほど、入口の1か所のずれが大きく響く。

実務に引き寄せると、判断が分かれるのは2点だ。1つは自動更新を許すか。今回、研究者は自動更新を有効にしていれば入りうると指摘している。一方で、更新を止めれば、今度は修正版を取り逃がす。もう1つは組織でどこまで管理するか。社員がそれぞれ入れる拡張を、会社が許可したものに絞る運用は、手間はかかるが、今回のような経路を狭められる。

ⓘ 他のAIツールの利用者へ
Cursorの発表は、今回の影響がCursorの拡張マーケットで配られた1つの拡張に限られるとしています。GitHub Copilotなど他社ツールの利用者に、この件で対応を求める発表は確認できていません。ただ、エディタの拡張から入る形のAIツールを使っているなら、入れる元と版を一度見直す機会にはなります。
Section 05

編集部の見立て

Editor's Opinion

今回いちばん重いのは、5,000人という数字よりも、見分けがつかなかったという事実だと考えます。名前が本物と同じだったため、利用者の側から見分けるのは難しかったはずです。見つけたのは外部の研究者だったと報じられています。

これは、AIツールを選ぶときの比べ方に、1つ項目を足す話だと思います。これまでは、賢さ、価格、使える範囲を見れば足りました。これからは、そのツールが手元に届く経路のうち、誰が名前を守り、誰が配り、問題が出たときに誰が止められるのかを見ておく必要があります。今回は配る側のCursorが配布を止め、マーケットを作り直しました。そこは評価できる一方、改ざん版が入手できた時間は約11時間に及びました。

もう一点、Anthropicの側から今回の件についての説明が、報道の時点では出ていません。自社の名前が使われた件で、本物の修正版を出したことは伝えられていますが、自社の拡張を使う利用者に向けた案内が出るのかどうかは、まだ分かりません。

Section 06

まとめ

Cursorは2026年10月29日、自社の拡張機能マーケットで、Anthropicが作っていない「Claude Code」拡張（Anthropic.claude-code 2.1.313）が配られたと公表しました。入手できたのはPTの午前2時27分ごろから午後1時35分ごろまでの約11時間で、影響は最大5,000人です。

改ざん版は端末の情報を集め、攻撃者のSSH鍵の書き込みと、遠隔から入るための通信路、消されても戻る常駐を試みました。管理者権限が無い端末ではSSHの有効化は多くの場合失敗しますが、鍵と常駐が残り、情報が送られた可能性は消えません。

心当たりがある端末は、拡張を更新するだけでなく、svc-telemetryという名前の鍵の確認、Cursorの除去スクリプトの実行、認証情報の入れ替えまで進めてください。Cursorの案内では、修正版は2.1.314です。

Cursorは該当する利用者に直接連絡するとしている。誰が改ざんしたのか、実際に何台が侵害されたのかは、10月30日の時点でまだ公表されていない。