Cursor の Claude Code 拡張機能に不正版｜SSH鍵の確認と対策
この記事の要点
- Cursorの拡張機能マーケットプレイスで、Anthropic名義のClaude Code拡張機能2.1.312・2.1.313の不正版が、日本時間2026年10月29日18:27頃から30日5:35頃まで約11時間配布されました。
- 不正版は拡張機能が読み込まれるだけで動き、攻撃者のSSH公開鍵を追加し、外部のサーバーへ逆向きのSSHトンネルを張る常駐の仕組みを入れ、端末の情報を送り出しました。
- 多くのMac・WindowsではSSHの有効化に失敗し、攻撃者は入れなかったとCursorは説明しています。ただしSSHを有効にしていた端末は別で、鍵と常駐の仕組みも残るため、拡張機能の削除だけでは足りません。
- 該当の確認は、SSHの認証鍵ファイルに「svc-telemetry」という鍵があるかどうかです。見つかったら端末を隔離し、安全な別の端末から認証情報とセッションを入れ替えます。
- VS Code版やnpm版のClaude Codeは不正ではないと報告されています。Cursorは、公開から一定時間が過ぎるまで導入を待たせる設定と、許可した拡張機能だけを入れる設定を用意しています。
AIにコードを書かせるエディタとして広く使われている Cursor で、2026年10月29日（米国太平洋時間）、Anthropic の Claude Code 拡張機能 を不正に改変した版が、Cursor の拡張機能マーケットプレイスから配布されました[1]。不正版は Anthropic が作ったものではなく、攻撃者が遠隔から端末に入るための SSH の裏口（バックドア）を仕込む作りでした[1]。
配布されていたのは約11時間で、Cursor はすでに不正版を取り下げ、攻撃者のサーバーも止めています[1]。ただし、不正版が入った端末には攻撃者の鍵と常駐の仕組みが残るため、拡張機能を消すだけでは片付きません[1]。
この記事では、Cursor の公式告知と2つの調査会社の解析をもとに、「何が起きたか」「不正版は何をするか」「自社は対象か」「見つかったら何をするか」「再発に備えて何を整えるか」を順に整理します。情報は2026年10月31日時点のものです。
Cursor の Claude Code 拡張機能で何が起きたのか？
Cursor の拡張機能マーケットプレイスで、Anthropic 名義の Claude Code 拡張機能（Anthropic.claude-code）として、不正に改変された 2.1.312 と 2.1.313 の Windows 版・macOS 版が配布されていました[1]。配布は米国太平洋時間の10月29日2:27頃から13:35頃まで、日本時間では10月29日18:27頃から30日5:35頃までの約11時間です[1]。
不正版は、正規の拡張機能の先頭に66行の不正なプログラムを足しただけで、それ以外は正規版と同じでした[3]。同梱されている Claude Code 本体のプログラムも正規のものだったと報告されています[3]。見た目や使い勝手では、正規版と区別がつかなかったことになります。
Cursor は、第三者の拡張機能を Open VSX（VS Code 互換のエディタ向けに拡張機能を公開するサイト）から取り寄せ、自社のマーケットプレイスを通して配っています[6]。Anthropic は、Claude Code 拡張機能を Microsoft の Visual Studio Marketplace と Open VSX に公開しており、マーケットプレイス自体は第三者のもので、Anthropic は保守も監査もしていないと説明しています[5]。
10月29日 18:27頃
不正版の配布が始まる（日本時間）
Cursor のマーケットプレイスで、Anthropic.claude-code の不正版が入手できる状態になった[1]
10月30日 5:35頃
Cursor が不正版を取り下げ（日本時間）
検知後ただちに不正版を削除して配布を止めた。その後、念のためマーケットプレイス全体を停止し、他の拡張機能が改ざんされていないことを確認、鍵を入れ替えて作り直したうえで再開した（停止・再開の時刻は公表されていない）[1]
10月30日まで
攻撃者のサーバーが停止（日本時間）
Cursor がサーバーの提供元と協力して停止させ、トンネルと情報送信の宛先が機能しなくなった[1]
10月30日
調査会社が解析結果を公表
10月31日 3:30
Cursor が告知を更新（日本時間）
痕跡の情報（IOC）を更新し、対象を当初の 2.1.313 から「2.1.312 と 2.1.313 の Windows 版・macOS 版」に広げた。当初あった「最大5,000人」という記載は、更新後の告知にはない[1][9]
当初は npm や Open VSX、Microsoft のマーケットプレイスでも配られたと報じられましたが、その後、不正版を配っていたのは Cursor だけだったと確認されています[4]。npm の @anthropic-ai/claude-code、Open VSX の拡張機能、Microsoft のマーケットプレイスの拡張機能は不正ではないと、OpenSourceMalware も報告しています[3]。
不正版の拡張機能は何をするのか？
不正版は、エディタが拡張機能を読み込んだ時点で動き出します。利用者が Claude Code に話しかけたり、ボタンを押したりする必要はありません[2][3]。動作は大きく4つで、攻撃者が後からその端末に遠隔で入り込むための準備をしていきます[1]。
| 動き | 内容 |
|---|---|
| 端末の情報を送る | ホスト名、ユーザー名、OS と CPU の種類（アーキテクチャ）、ホームフォルダの場所、作業中のフォルダ、Git に設定したメールアドレス、グローバルIPアドレス、環境変数の名前を攻撃者のサーバーへ送る[1] |
| 攻撃者の鍵を登録する | 攻撃者の SSH 公開鍵（コメントは svc-telemetry）を、SSH でのログインを許す鍵の一覧（authorized_keys）に追加する[1][3] |
| SSH を有効にし、トンネルを張る | 端末の SSH サービスを有効にしようとし、攻撃者のサーバーへ逆向きの SSH トンネルを張る。攻撃者はこのトンネルを通って端末に入る[1][2] |
| 常駐させる | macOS は Apple の部品に見せかけた LaunchAgent に登録する。Windows は SYSTEM 権限で動くタスクの作成を試み、うまくいかなければスタートアップに登録する。どちらも再起動後にトンネルを張り直す[1][2] |
2026年10月31日時点の Cursor の告知と、Phorion・OpenSourceMalware の解析による。IP アドレスやハッシュ値などの痕跡は Cursor の告知を参照。
送られる環境変数は、名前に KEY・TOKEN・SECRET・PASS・AWS・GCP を含むもの最大40個で、値そのものは送られません[2][3]。ただし名前だけでも、その端末にどのクラウドやAIサービスの鍵が置かれているかが分かります。Phorion は、攻撃者が狙う端末を選ぶための下調べだと見ています[2]。
不正版そのものは、追加のプログラムをダウンロードしません[3]。そのかわり、端末の SSH が動いていてトンネルがつながれば、攻撃者は端末を直接操作し、ファイルを持ち出せます[2]。BleepingComputer は、認証情報を直接盗む処理がないことから、攻撃者は侵入した後で手作業で探すつもりだったとみています[4]。
多くの端末では侵入まで至らなかった理由
SSH サービスを有効にするには管理者権限が必要で、多くの Mac・Windows では不正版にその権限がありません[1]。そのため、Cursor を管理者権限で起動していたような例外を除き、この手順は失敗し、攻撃者はトンネル経由でログインできなかったと Cursor は説明しています[1]。
Phorion によると、不正なプログラムにはミスもありました。macOS では SSH が無効かどうかの確認を管理者権限なしで行うため確認自体が失敗し、有効化の手順が飛ばされます。Windows では、SSH サーバーを入れる PowerShell の命令を、Windows に標準では無い Unix 用のシェル（/bin/sh）経由で実行しようとしているため、通常の Windows では失敗するとみられます[2][4]。
拡張機能をアンインストールするだけでは不十分な場合があります。不正なプログラムは独立した常駐用のスクリプトを置き、それが動き続けるためです。
Uninstalling the extension may not be sufficient — the payload drops standalone persistence scripts that keep running.
自社は対象か？どう確認すればよいか？
対象は、日本時間10月29日18:27頃から30日5:35頃までの間に、Cursor のマーケットプレイスから Claude Code 拡張機能 2.1.312 または 2.1.313 を macOS か Windows で入れた、または更新した端末です[1]。Cursor は、入れた場合だけでなく更新した場合も対象としています[1]。拡張機能が自動で更新される設定なら、本人に入れた覚えがなくても対象になりえます。
VS Code で Microsoft のマーケットプレイスから入れた Claude Code 拡張機能、Open VSX から入れた拡張機能、ターミナルで使う npm 版の Claude Code は、不正ではないと報告されています[3]。Cursor も、ほかのバージョンや公式の配布物が影響を受けた証拠はないとしています[1]。
| 確認すること | 方法 |
|---|---|
| 攻撃者の鍵（macOS） | ターミナルで grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted" を実行し、「svc-telemetry key found」と出たら対象[1] |
| 攻撃者の鍵（Windows） | PowerShell で %USERPROFILE%\.ssh\authorized_keys と C:\ProgramData\ssh\administrators_authorized_keys に svc-telemetry があるかを調べる（Cursor が確認用のコマンドを公開）[1] |
| 常駐の仕組み（macOS） | ~/Library/LaunchAgents/com.apple.sysmond.plist と ~/.config/.smt があるか[1] |
| 常駐の仕組み（Windows） | タスク名 SysMon、スタートアップの sysmon.cmd、%USERPROFILE%\.config\smt.cmd があるか[1] |
| 侵入の記録（共通） | SSH のログに、127.0.0.1 などの自分自身から svc-telemetry の鍵でログインした記録があるか[2] |
2026年10月31日時点の Cursor の告知と Phorion の解析による。Phorion は、コメント（svc-telemetry）だけに頼らず、鍵の指紋（フィンガープリント）でも探すよう勧めている。指紋や通信先は Cursor の告知を参照。
会社で複数の端末を管理している場合は、端末を管理するツールや EDR（端末の不審な動きを検知する製品）で、拡張機能の導入記録、通信の記録、ファイルの変更記録を Cursor が公開した痕跡と照らし合わせます[1]。Phorion は、エディタの補助プロセス（Cursor Helper など）が authorized_keys を書き換えたことを、ファイル変更の記録で捉えるのが重要だとしています[2]。
見つかったら何をすればよいか？
攻撃者の鍵が見つかった端末は、Cursor の基準で影響を受けた端末です[1]。編集部としては、侵入されたものとして扱うことを勧めます。拡張機能を消すだけでは常駐の仕組みが残るため、端末を隔離し、鍵・常駐・トンネルを取り除き、その端末から使えた認証情報を入れ替えるところまで進めます[1]。
攻撃者の鍵が見つかった端末でやること
- 端末をネットワークから切り離し、作業を止める[1]
- 削除の前に、調査に必要な記録（ログや不審なファイル）を保全する[3]
- Cursor が公開した削除用スクリプトを実行する。macOS は対象のユーザーで（root ではなく）、Windows は管理者として起動した PowerShell で実行する。拡張機能・常駐の仕組み・トンネル・攻撃者の鍵がまとめて消え、何か残っていればエラーで知らせる[1]
- 端末を作り直すかどうかを判断する。OpenSourceMalware は、分かっている痕跡を消せば元どおり信頼できると考えるより、作り直す方が安全だとしている[1][3]
- 安全な別の端末から、その端末で使えたクラウドの鍵、AIサービスのAPIキー、GitHub などのトークン、SSH の鍵、ログイン中のセッションを入れ替える[1][2]
- Mac のリモートログインや Windows の OpenSSH サーバーが、意図せず有効になっていないか確かめる[2]
- 社内の他の端末にも同じ確認を広げ、対象の端末と時間帯を記録に残す
鍵が見つからなかった端末は、Cursor の基準では影響を受けていません[1]。念のため、Claude Code 拡張機能のバージョンを確認し、マーケットプレイスの最新版に更新しておきましょう。拡張機能の版番号は、同梱している Claude Code の版と同じ番号です[5]。
なぜAIコーディングツールの拡張機能が狙われるのか？
エディタの拡張機能は、エディタ本体と同じ権限で動きます。VS Code の公式文書によると、拡張機能はファイルの読み書き、外部との通信、外部プログラムの実行ができます[7]。Cursor も VS Code を元にしたエディタで、VS Code の拡張機能に対応しています[4]。Phorion も、拡張機能はエディタとそれを動かす利用者の権限で動くため、読み込まれた時点で手元のファイルやソースコードに触れられると指摘しています[2]。
編集部の見方では、開発者の端末には、ソースコード、クラウドの鍵、AIサービスのAPIキー、本番環境に入るための SSH の鍵が集まりやすく、攻撃者にとって価値の高い標的です。AIコーディングツールの拡張機能は多くの開発者が入れて自動で更新するため、配布経路を一度押さえれば、多くの端末に一斉に届きやすくなります。
マーケットプレイスが複数あることも、混乱のもとです。Cursor は、同じ「発行元.拡張機能名」の ID でも、Open VSX と Microsoft のマーケットプレイスで別の発行元や別の中身を指すことがあるとして、拡張機能を依存パッケージと同じように扱い、信頼できる発行元から入れるよう呼びかけています[6]。
IPA の「情報セキュリティ10大脅威 2026」（組織向け）では、「サプライチェーンや委託先を狙った攻撃」が2位、「AIの利用をめぐるサイバーリスク」が初めて選ばれて3位に入りました[8]。今回の事件は、その両方が重なった例と言えます。
再発に備えて企業が整えること
マーケットプレイス側の検査だけに頼らず、会社の側で「すぐには入れない」「許可したものだけ入れる」「何が入っているかを把握する」の3つを設定と運用で用意します。Cursor と VS Code には、そのための設定がすでにあります[6][7]。
| 対策 | 内容 |
|---|---|
| 導入を待たせる | Cursor のチーム管理者は、マーケットプレイスで公開されてから指定した時間が過ぎるまで、拡張機能の導入と更新を待たせられる（Marketplace Install Cooldown）。既定は0（無効）[6] |
| 許可したものだけ入れる | Cursor はチーム設定や MDM（端末の一括管理）で、許可した発行元・拡張機能だけを入れられるようにできる[6]。VS Code にも、組織で許可する拡張機能を指定する設定がある[7] |
| 署名を確かめる | Cursor の企業向けプランでは、Open VSX の署名が正しい拡張機能だけを入れる設定がある[6]。Microsoft のマーケットプレイスは公開時に署名し、VS Code が導入時に確かめる[7] |
| 何が入っているかを把握する | 誰が、どのエディタに、どの拡張機能のどの版を入れているかを一覧にし、今回のような告知が出たときにすぐ照合できるようにする |
| 鍵の変更を見張る | エディタのプロセスが SSH の鍵の一覧（authorized_keys）を書き換えたら検知する[2]。SSH を使わない端末では、リモートログイン（SSH）を無効のままにしておく（今回も、SSH が動いていない端末にはトンネル経由で入れなかった[1][4]） |
2026年10月31日時点の Cursor のヘルプと VS Code の公式文書による。設定できる項目はプランによって異なる。
導入を待たせる設定は、公開してすぐに見つかり取り下げられる不正版への備えになります。今回の不正版は約11時間で取り下げられており[1]、待ち時間がその版の公開から数えられていたなら、それより長い待ち時間で導入を防げた計算です。ただし、不正版が Cursor のマーケットプレイスにどう登録されたか（新しい版として公開されたのか、既存の版の中身が入れ替わったのか）は公表されておらず[4]、今回この設定で確実に防げたかは、2026年10月31日時点では分かりません。待たせている間は正規の修正版も遅れて届くため、待ち時間は会社の許容度に合わせて決めます。
開発者の端末に置く鍵を減らすことも、被害を小さくします。クラウドやAIサービスの長期間使える鍵を環境変数やファイルに置かず、権限を絞った短期間のトークンに切り替えておけば、端末に入られたときに持ち出される範囲が狭くなります。AIの開発基盤が狙われた例として、LiteLLM のサプライチェーン攻撃も参考になります。
AI利用の観点で見直す点
AIコーディングツールを使う人は、エンジニアに限らず広がっています。社内のAI利用ルールでは、「どのAIを使ってよいか」だけでなく、「どの配布元から、どの形で入れるか」まで決めておく必要があります。
- 使ってよいエディタと拡張機能、入れてよい配布元（マーケットプレイス）を決め、一覧で共有する
- 拡張機能の自動更新をどう扱うか（導入を待たせる時間、許可リスト）を決める
- AIツールの拡張機能やプラグインを、社内のソフトウェアと同じ棚卸しの対象に入れる
- AIエージェントが読む指示ファイルや設定も、外部から持ち込まれたものとして確認する（指示ファイル悪用の手口と対策を参照）
- 開発端末で事故が起きたときの連絡先と、鍵を入れ替える手順を決めておく
生成AIの利用で起きるリスクの全体像は、AIセキュリティとはでも整理しています。
まとめ
2026年10月29日、Cursor のマーケットプレイスで Claude Code 拡張機能 2.1.312・2.1.313 の不正版が約11時間配布され、攻撃者の SSH 鍵と常駐の仕組みを端末に入れました[1]。多くの端末では侵入まで至らなかったとされていますが、鍵と常駐の仕組みは残ります[1]。
まずは社内の Cursor 利用者の端末で、SSH の鍵の一覧に svc-telemetry がないかを確かめてください。見つかった端末は隔離し、削除用スクリプトで片付け、安全な端末から鍵とトークンを入れ替えます[1]。そのうえで、拡張機能の導入を待たせる設定、許可リスト、拡張機能の一覧を会社として整えておくと、次に同じことが起きたときに素早く動けます[6]。
よくある質問
Cursor で Claude Code 拡張機能を使っていますが、影響を受けたかどうかはどう確認すればよいですか？
SSH でのログインを許す鍵の一覧（authorized_keys）に、svc-telemetry というコメントの鍵があるかを確かめます。macOS ではホームフォルダの .ssh/authorized_keys、Windows ではユーザーの .ssh フォルダと ProgramData の ssh フォルダが対象です。見つかった場合は対象です。Cursor が確認用のコマンドと削除用のスクリプトを公開しています。
VS Code で Claude Code 拡張機能を使っている場合も対象ですか？
2026年10月31日時点では対象外とされています。不正版を配っていたのは Cursor のマーケットプレイスだけで、Microsoft のマーケットプレイスや Open VSX の拡張機能、npm 版の Claude Code は不正ではないと報告されています。ただし、Cursor でも同じ拡張機能を使っている場合は、Cursor 側で確認してください。
不正版の拡張機能を削除すれば大丈夫ですか？
大丈夫ではありません。不正版は拡張機能とは別に、常駐用のスクリプトと攻撃者の SSH 鍵を端末に置くため、拡張機能を削除しても残ります。Cursor が公開した削除用スクリプトで常駐の仕組み・トンネル・鍵をまとめて取り除き、端末の作り直しも検討したうえで、安全な別の端末から認証情報とセッションを入れ替えてください。
攻撃者は実際に端末へ入れたのですか？
Cursor によると、SSH を有効にするには管理者権限が必要で、多くの Mac と Windows では不正版がその手順に失敗したため、攻撃者はトンネル経由でログインできませんでした。ただし、もともと SSH を有効にしていた端末では入れた可能性があります。攻撃者のサーバーはすでに停止していますが、攻撃者の鍵の登録と端末情報の送信は行われているため、侵入の有無にかかわらず対応が必要です。
会社として同じような被害を防ぐには何をすればよいですか？
拡張機能を「すぐには入れない」「許可したものだけ入れる」「何が入っているかを把握する」の3つを整えます。Cursor には公開から一定時間が過ぎるまで導入を待たせる設定や許可リストがあり、VS Code にも許可する拡張機能を指定する設定があります。あわせて、誰がどの拡張機能のどの版を使っているかを一覧にし、告知が出たときにすぐ照合できるようにしておきます。
出典・参考資料
- 公式発表Security notice — malicious version of Anthropic.claude-code (2.1.312 and 2.1.313) identified in the Cursor VS Code Extension Marketplace
- 調査レポートOfficial Claude Code Extension Compromise: Security Advisory
- 調査レポートTrojanized Claude Code Extension Plants an SSH Backdoor
- 記事Malicious Claude Code extension on Cursor planted SSH backdoors
- 公式発表Use Claude Code in VS Code
- 公式発表Extensions | Cursor Docs
- 公式発表Extension runtime security
- 公式発表情報セキュリティ10大脅威 2026
- 公式発表Security notice — malicious version of Anthropic.claude-code (2.1.313) identified in the Cursor Extension Marketplace
本記事の事実関係は、2026.10.31 時点で上記の出典をすべて再確認しています。 攻撃の経緯や影響範囲は続報で変わる可能性があります。最新の情報は Cursor の公式告知を確認してください。
AIセキュリティの基本は「AIセキュリティとは」で解説しています。
