Cursor は、AI インフラプロバイダーの Fireworks AI から認証情報を盗まれるセキュリティ侵害を受け、そのマーケットプレイスを通じて悪意ある Claude Code 拡張機能が配布されたことを認めました。
この侵害により、攻撃者は社内システムにもアクセスし、顧客データを盗み出しました。盗まれたデータには、機密情報が伏せられていない状態の認証情報を含む、過去の AI コーディングエージェントのトレースも含まれていました。これらの認証情報は、その後、別のサービスへの侵入にも悪用されました。
侵害は、金曜日に公開された新たなインシデントレポートで明らかになりました。同レポートによると、攻撃者は10月29日、Cursor のマーケットプレイスを通じて、Anthropic の Claude Code 拡張機能の悪意あるバージョンを配布しました。
この攻撃により、最大5,000人の開発者が、永続的な SSH バックドアを仕込むマルウェアにさらされました。
Cursor は、Microsoft のオープンソース Visual Studio Code（VS Code）をベースにした AI搭載のコードエディターです。開発者は AI アシスタントを使って、ソフトウェアの作成、修正、デバッグを行えます。
Cursor によると、攻撃の発端は、AI モデルのトレーニングと推論に利用しているサードパーティプロバイダー、Fireworks AI に保管されていたアクセスキーをハッカーが入手したことでした。
攻撃者は、流出したキーを使い、Cursor が Fireworks との情報共有に使っていた読み取り専用のストレージバケットからデータをコピーしました。
このバケットには、主に2025年に収集された過去の AI コーディングエージェントのトレースが保存されていました。対象は、プライバシーモードを有効にしておらず、データをモデルのトレーニングに利用できるユーザーのものです。トレースの一部には、機密情報が伏せられていない API 認証情報が含まれており、攻撃者はこれを使って Cursor の別のシステムにアクセスできました。
Cursor は、コーディングエージェントのトレースが流出したユーザーは全体の0.05%未満、API 認証情報が侵害された顧客は0.01%未満だとしています。
ハッカーは、入手した認証情報を使い、Cursor の複数の SaaS（Software as a Service）ツールからデータを盗み出しました。盗まれたデータは次のとおりです。
- アーカイブ済みの非本番環境の Cursor ソースコードリポジトリ（一部に事業上の連絡先情報を含む）
- 限定的なカスタマーサポート情報とメールのやり取り
- 製品の利用状況に関する指標と顧客の連絡先情報
- 一部の AI コーディングエージェントとの会話の要約
- 顧客が以前に Cursor のサポートチームへ共有した認証情報
Cursor によると、同社の監視システムが不正なアクティビティーを検知しました。これを受け、Fireworks のアクセスキーを失効させ、流出した認証情報をローテーションし、ほかに不正アクセスがないか調査を進めました。
調査の過程では、予防措置として、社内サービスと製品サービスの一部を一時的に停止しました。
しかし、攻撃者はすでに、Cursor のマーケットプレイスを通じて拡張機能を配布できる認証情報を入手していました。
10月29日、ハッカーはこの認証情報を使い、Cursor の VS Code 拡張機能マーケットプレイスに、Anthropic の Claude Code 拡張機能の悪意あるコピーを公開しました。
Cursor は次のように説明しています。「10月29日、攻撃者は社内システムから流出したデータに含まれていた認証情報を盗用し、Cursor の VS Code 拡張機能マーケットプレイスの配信に使うキャッシュ上に、Anthropic の Claude Code 拡張機能を装った悪意ある不正なコピーを直接配置しました」
この攻撃では、Anthropic の正規の拡張機能や、Cursor が利用する拡張機能マーケットプレイスの Open VSX は侵害されていません。
悪意ある拡張機能はバージョン2.1.312と2.1.313で、Cursor が削除するまでの約11時間、入手可能な状態でした。
BleepingComputer が先に報じたとおり、攻撃者は正規の Claude Code 拡張機能を改ざんし、悪意ある JavaScript を実行させました。このコードは、開発者のコンピューターに永続的な SSH バックドアを仕込もうとするものでした。
このマルウェアは、システム情報を収集し、攻撃者が管理する SSH キーをインストールしました。さらに、SSH アクセスの有効化を試み、リモートアクセスを維持するための永続化の仕組みも設定しました。
ただし、セキュリティ研究者は、コーディング上のミスを発見しています。このミスにより、SSH がもともと有効になっていない多くの Windows や macOS の環境では、バックドアが機能しなかった可能性が高いとみられます。
Cursor は、公開期間中に影響を受けたバージョンの拡張機能を要求した最大5,000人のユーザーが、悪意あるビルドを受け取った可能性があると推定しています。
同社によると、本番インフラ、公式アプリケーションのリリース、顧客のコードリポジトリ、およびプライバシーモードを有効にしているユーザーのコードとプロンプトは影響を受けていません。
Cursor は、予防措置として、すべての推論トラフィックを Fireworks から移行し、流出した認証情報を失効・ローテーションしたと説明しています。あわせて、拡張機能マーケットプレイスを再構築し、本番インフラも再デプロイしました。
攻撃期間中に影響を受けた Claude Code 拡張機能をインストールまたは更新した顧客は、Cursor の対処ガイダンスに従うよう推奨されています。
「Black October」
今回のインシデントは、セキュリティ企業 Wiz が「Black October」と名付けた、AI 開発者向けプラットフォームを狙う一連の攻撃の一つです。
これらの攻撃は開発インフラを標的とし、認証情報、特に AI モデルへのアクセスを可能にするものを盗み出しました。
盗まれた認証情報は、不正な AI 推論に悪用されました。被害を受けた顧客には多額の請求が発生しており、一部のインシデントでは、AI モデルの蒸留を試みた形跡も確認されています。
被害を受けた企業は多数に上り、Railway、Northflank、Lightning AI、OpenCode、Warp などが含まれます。
Railway では、攻撃者が顧客の認証シークレットを盗み、これを悪用して約74万ドルに上る不正な AI 利用料金を発生させました。OpenCode も、API キーの流出と不正な AI 利用を報告しています。
Fireworks AI も被害を受けました。同社は10月、複数のセキュリティ侵害を公表しています。一つは API キーとトークンが流出したもの、もう一つは、侵害されたサードパーティのクラウドプロバイダーを経由して、攻撃者が開発用マシンにアクセスしたものです。
Fireworks のインシデントは、ほかの顧客にも影響しました。その一つ、Notion は最近、少数のワークスペースにおける AI チャットの記録が流出したと公表しました。
