10月31日、WIREDが「A Supply Chain Attack Put Malicious Anthropic Claude Extensions on Thousands of Devices」と題した記事を公開した。この記事では、AI開発ツール「Cursor」の拡張機能マーケットプレイスに悪意あるAnthropicのClaude Code拡張機能が混入し、最大5,000台の開発者マシンに感染したサプライチェーン攻撃について詳しく紹介されている。
何が起きたか
Anysphere社が開発するAIコーディングツールCursorのIDEマーケットプレイスに、偽のAnthropicのClaude Code拡張機能が混入した。Windows・macOS・Linux向けに提供されたこの拡張機能は、約11時間にわたってマーケットプレイスに存在し続け、最大5,000人のユーザーがダウンロードした。
Cursorはインシデントを確認後、マーケットプレイスを一時停止して調査を実施。他の拡張機能への影響はなかったとしている。10月29日には影響を受けた約5,000ユーザー向けに修復手順を公開した。
サプライチェーン攻撃とは、ソフトウェアの配布・更新経路そのものを侵害して悪意あるコードを紛れ込ませる手法であり、ユーザーが正規の手順でインストールしても感染する点が厄介だ。過去にはSolarWinds事件やXZ Utils事件など、開発インフラを標的にした大規模攻撃が繰り返されており、開発者向けツールのエコシステムは特に狙われやすい。
バックドアの設計と、偶然の「救い」
問題の拡張機能にはバックドアが仕込まれており、攻撃者が被害者のデバイスへアクセスするための足掛かり（インプラント）として設計されていた。このタイプの初期侵入経路は、攻撃者がターゲットネットワーク内でより深い制御権を獲得するために一般的に使われる手法だ。
ただし、今回は不幸中の幸いがあった。マルウェア自体の設計上の不具合により、大多数のターゲットでバックドアが完全には確立されなかった。
悪意ある拡張機能を最初に検出したセキュリティ検知企業Phorionの共同創業者兼CEOであるCalum Hall氏は次のように述べている。
「全員が本当に運が良かった。これは攻撃者にとって非常に危険な足掛かりになり得た」
Phorionは顧客のMacでこの拡張機能を検知したことで、いち早く問題を特定した。
AnthropicもCursorも「自分たちが作ったものではない」
研究者の一部は当初、Anthropicのシステムが侵害されたのではないかと推測した。しかしCursorは「これらの悪意あるバージョンはAnthropicが開発したものではない」と明言した。
Anthropicのテクニカルスタッフ、Felix Rieseberg氏はXに次のように投稿した。
「私たちはCursorと連携してこのインシデントに対応しているが、Anthropicのシステムや社員のラップトップへの侵害ではない。悪意ある攻撃者がCursorのマーケットプレイスへのアクセスを利用して、Claude Code拡張機能の改ざんされたコピーを公開した。私たちがビルドや公開をしたものではなく、公式チャネル上のバージョンは影響を受けていない。影響を受けるのはCursorユーザーのみだ。」
AnthropicのセキュリティエンジニアDavid Dworken氏も同様に「Anthropicのいかなるシステムの侵害も関与していない。私たちはこの拡張機能のビルド・公開・ホスティングに一切関与していない」と補足した。
未解明の核心部分
最大の疑問は「どうやって悪意ある拡張機能がCursorのマーケットプレイスに公開できたのか」だ。WIREDがCursorにこの点の説明と、Cursor側でのセキュリティ侵害の有無を問い合わせたが、回答は得られていない。
CursorのマーケットプレイスはVS Code互換の拡張機能エコシステムを基盤としている。VS Code拡張機能マーケットプレイスでは誰でも拡張機能を公開できる仕組みが採られており、Cursorもこれに準じた構造を持つとみられる。拡張機能の公開プロセスにどのような審査・検証の仕組みがあるかは現時点では不明なままだ。IDEの拡張機能マーケットプレイスは、開発者が日常的に利用するツールチェーンに直結しているため、サプライチェーン攻撃の標的として特に高いリスクを持つ。
CursorはAI支援コーディングツールとして急速に普及している開発者向けプラットフォームだ。5,000台という感染規模は数字だけ見れば限定的に映るが、標的が開発者マシンである点が事態を深刻にする。開発者の環境には認証情報・APIキー・ソースコード・本番環境へのアクセス経路が集中しており、初期侵入に成功すれば影響は単一マシンにとどまらない。今回はマルウェアの実装バグが被害を抑えた形だが、攻撃者のテクニックが洗練されていれば、結果は大きく異なっていた可能性がある。
詳細はA Supply Chain Attack Put Malicious Anthropic Claude Extensions on Thousands of Devicesを参照していただきたい。
