【geek-terminalニュース】偽Claude Code拡張がCursorに混入、SSHバックドアの仕組みを追う

【事象の全貌と背景】

いつものエディターで、いつものAI拡張を更新する。その操作が端末への裏口を仕込む入口になり得るという、開発者には身近すぎる事件だ。Cursorの公式告知によると、2026年10月29日の米太平洋時間2時27分から13時35分ごろまで、Cursor MarketplaceでClaude Code拡張「Anthropic.claude-code」2.1.313の不正改変版が配布された。約11時間の公開で影響対象は最大5000ユーザー。ただし、これは遠隔侵入や秘密情報の窃取が成功した人数ではない。

Cursorは、この不正改変版をAnthropicが開発したものではないと説明している。初期の研究記事や投稿にはOpen VSXという記述もあるが、今回確認した公式告知が特定する配布経路はCursor Marketplaceだ。「Claude Codeの公式配布が全面的に侵害された」と広げる根拠はない。表示されるブランド、発行者名、実際に取得した配布物の真正性を分けて考える必要がある。[Cursor公式告知](https://cursor.com/blog/claude-code-extension-security-notice)

【技術的ディープダイブ】

Phorionの解析報告によれば、不正コードはextension.jsの先頭に差し込まれ、通常のactivate処理より前に実行されるという。ここが不気味だ。報告どおりなら、チャット欄で何かを依頼する前に、拡張の読み込み自体で処理が始まる。AIの回答の安全性とは別に、拡張として動くプログラムの権限が問題になる。

同報告では、攻撃者の公開鍵を~/.ssh/authorized_keysへ追加し、134.209.82.225への逆向きSSHトンネルを作る構成が説明されている。鍵のコメントは「svc-telemetry」。端末から外部へ接続し、その経路を使って端末側のSSHへアクセスする狙いだという。ただし、鍵を置く処理、トンネルを張る処理、実際にログインできる状態は、それぞれ別の段階だ。

永続化についてPhorionは、macOSのLaunchAgent、Linuxのcron、Windowsのタスクまたはスタートアップを使うコードを報告している。これは各OSで被害が実証されたという意味ではない。また、収集対象にはホスト情報、公開IP、最大40件の認証情報関連の環境変数名が含まれるという。この処理で送るのは「名前」であり、APIキーなどの秘密値そのものではない。情報送信の試行と、認証情報の窃取成功を混同してはいけない。

macOSには、管理者権限なしでSSHの状態確認を行い、期待した判定ができず有効化を飛ばす不具合がある、と研究者は指摘する。SSHが停止していれば接続経路が成立しない場合がある一方、公開鍵や永続化設定は残り得るという。攻撃コードのバグを、そのまま端末の安全宣言に変換できない理由だ。[Phorionの解析報告](https://phorion.io/blog/offical-claude-code-vsx-compromise/)

【コミュニティの生々しい熱量と議論】

Redditのr/ClaudeCodeでは、怒りと不安に、情報を訂正する動きが重なった。BeforeIEndの「god damn it」は短いが切実だ。xDaftTurtleは、何日もVS Codeを再起動していないので不正拡張は実行されていないのでは、と問いかけた。利用者が知りたいのは抽象的な危険度より、「自分の作業端末で動いたのか」という一点なのである。再起動していないという事情だけで未実行とは断定できず、配布物と実行履歴の確認が必要になる。

一方、bitspaceは、Anthropicが開発した不正ビルドではなく、Cursor側で配布された改変コピーだと訂正。Anthropic、Microsoft、Open VSXが侵害された証拠はないと投稿した。Key-Analysis-5864も見出しが大げさだと警戒していたが、その投稿本文にはOpen VSX由来とする説明が残る。議論の最中に前提が更新され、古い助言が同じスレッドに残る様子まで見えている。

技術者らしい悪ノリもある。tornikeoは「Ask claude code from terminal :)」と返し、攻撃者がAIへの脱獄プロンプトで解析を妨害する可能性や、制約を弱めたGLMでのスキャンにまで話を飛ばした。ただし、今回そうした妨害が使われた証拠ではないし、モデルを替えれば安全に監査できるという実証でもない。AIでAI周辺の事故を調べたい欲求と、解析するAIまで信用できるのかという疑念が同居している。[Redditの議論](https://www.reddit.com/r/ClaudeCode/comments/1xj7d4p/the_official_claude_code_vs_code_extension_was/)

【今後の展望とエコシステムへの影響】

The Decoderは、Cursorが当該拡張の削除とマーケットプレイスの一時停止を実施し、関係事業者とマルウェアを無力化して再開した、と伝えている。他の拡張に影響はなかったというのもCursor側の説明だ。これらの対応は、個々の端末に残った設定や侵入の有無を独立に確定するものではない。[The Decoderの報道](https://the-decoder.com/malicious-claude-code-extension-in-cursors-marketplace-attempted-remote-access-and-data-theft/)

今回の教訓として筆者が重視するのは、発行者の真正性を表示名だけで判断しないことだ。確認単位は、拡張の識別子、バージョン、取得元、パッケージの内容までつながる必要がある。自動更新を止めるというコミュニティの声もあるが、それだけでは正しい更新と改変物を見分けられない。

また、拡張を削除する操作と、端末に作られた鍵や常駐設定を取り除く操作は別になる。該当する配布経路と時間帯に心当たりがあれば、公式告知の調査・復旧手順に沿って痕跡を確認するのが出発点だ。今後問われるのは、便利なAI機能の採用速度に、配布物の検証と権限管理をどう追いつかせるか。開発者が毎日信頼している「インストール」の一押しまで、AI開発環境の設計課題になっている。