海外メディアMLQ.aiは11月14日、AIコーディングツール「Cursor」の開発元が、同社の拡張機能ストアで改ざん版の「Claude Code」拡張機能が配られた事件の調査報告を公表したと報じた。Cursorによると、侵入の発端はAIの推論（学習済みモデルで答えを出す処理）を委託していたFireworks AIで、Cursorが発行したアクセスキーが流出していたという。

委託先の鍵から社内へ、そして拡張機能ストアへ

攻撃者はこの鍵を使い、Fireworksと共有していた読み取り専用のデータ保管場所から、主に2025年のコーディングエージェントの作業記録をコピーした。対象は「プライバシーモード」をオンにしていない利用者のセッションで、記録の一部には消されていない認証情報（パスワードやAPIキーなど）が含まれていた。Cursorは、記録が流出した利用者は全体の0.05％未満、APIの認証情報が流出した顧客は0.01％未満としている。

攻撃者はその認証情報でCursorの社内ツールに入り込み、10月29日、VS Code互換の拡張機能ストアを配信するキャッシュに、AnthropicのClaude Code拡張の改ざん版（バージョン2.1.312と2.1.313）を置いた。公開されていたのは約11時間で、該当バージョンを要求した最大5,000人が受け取った可能性がある。Cursorは、Anthropicがこの偽物を公開したわけではなく、Anthropic製品自体の欠陥でもないと明言している。

アンインストールだけでは不十分な可能性

BleepingComputerの報道によると、改ざん版は攻撃者のSSH鍵（遠隔ログイン用の鍵）を仕込み、外部から入れる状態を保とうとするプログラムを実行するものだった。CursorはFireworksでの推論をすべて停止し、鍵の無効化、すべての社内認証情報の入れ替え、拡張機能ストアの再構築などを実施した。最後の攻撃活動は11月1日に遮断したとしている。

Cursorは、拡張機能を消すだけでは不十分な場合があるとして、該当する人は10月29日付のセキュリティ告知にある修復スクリプトを使うよう呼びかけている。CursorでClaude Code拡張を使っている人は、10月29日前後にこの2つのバージョンを入れていないか確認したい。