AIコードエディタ「Cursor」の拡張機能マーケットプレイスで、Anthropicの「Claude Code」を装った不正な拡張機能が11時間以上公開されていたことが分かった。問題の拡張機能にはSSHバックドアの設置を試みるコードが含まれており、影響を受けた可能性がある利用者は最大5000人に上る。テックメディアのTechzineが10月31日（現地時間）に報じた。

報道によると、不正版は利用者のPCに対し、外部からの継続的なアクセスを可能にするSSHバックドアの設置を試みた。Cursorは安全確保のため、マーケットプレイス全体を一時停止した。

問題となったのは、10月29日に公開された「Claude Code」パッケージのバージョン「2.1.313」だ。Cursorによると、このバージョンはAnthropicが開発したものではない。影響の可能性がある利用者には、個別に連絡しているという。

Cursorはアクセス権限を見直し、セキュリティキーを更新したうえで、マーケットプレイスを再構築しサービスを再開した。他の拡張機能に改ざんは確認されておらず、別バージョンや公式配布版に影響が及んだ証拠も見つかっていないとしている。

悪性コードはまず、ホスト名、ユーザー名、OS、Gitのメールアドレス、グローバルIPアドレスなどのシステム情報を収集した。その後、「svc-telemetry」名義のSSH鍵を登録し、ローカルのSSHサービスを有効化しようとした。さらに、攻撃者のサーバーへ向けたリバースSSHトンネルの確立も試みた。

macOSとWindowsでは、この接続を維持する仕組みも組み込まれていた。バックグラウンドで動作するスクリプトは、約60秒ごとに再接続を試みていたという。

一方で、実際の被害は限定的だった可能性がある。SSHの有効化には管理者権限が必要だが、多くの環境では拡張機能にその権限が与えられていないためだ。Cursorによると、悪性コード自体にも不具合があったという。Cursorはクラウド事業者と連携し、攻撃者のサーバーを遮断した。