Claude Codeの拡張機能に「裏口」を仕込んだ改ざん版。Cursorのマーケットで配布された2.1.313の影響と確認方法
この記事を約3分で解説
2026年10月29日、AIを使ったコードエディター「Cursor」を開発する会社が、自社の拡張機能マーケットで、Claude Code（Anthropicのコーディング支援AI）の拡張機能を改ざんしたものが配布されていたと発表しました。
改ざん版はバージョン「2.1.313」です。インストールすると、パソコンに外から入り込むための「裏口」（SSHの鍵と、外部への通信路）を仕込もうとします。影響を受けた可能性があるのは、最大で5,000人とされています。
SNSでは「Claude Codeにバックドア」と広まっていますが、Claudeを使っている人全員が対象ではありません。また、「VS Code用」と書かれた投稿もありますが、Cursorの発表によると、配布されていたのはCursorのマーケットです。この記事では、誰が対象になるのか、自分が被害を受けたかをどう確かめるのかを整理します。
この記事は2026年10月30日時点の公開情報をもとに作成しています。調査は続いており、内容が変わる可能性があります。最新情報は記事末尾の参考情報もあわせてご確認ください。
まず結論：やること
- 社内や外注先で、CursorにClaude Codeの拡張機能を入れている人がいるか確認する
- 該当する人は、10月29日に拡張機能が2.1.313に更新されていないかを確認する
- 下で紹介する方法で、SSHの鍵に「svc-telemetry」という文字が入っていないかを確かめる
- 見つかった場合は、そのパソコンをネットワークから切り離し、Cursorが公開している駆除用のスクリプトを実行する
- そのパソコンから使っていたパスワードやAPIキー、各種サービスのログインを、別の安全なパソコンから作り直す
「自分のパソコンが対象か分からない」「駆除のやり方に自信がない」という方へ
C-TechLabでは、被害の確認から、認証情報の作り直し、開発環境の見直しまでお手伝いしています。初回のご相談は無料です。
何が起きたのか
Cursorのマーケットに、改ざん版が置かれていた
Cursorは、マイクロソフトのVS Codeをもとに作られたAIエディターです。VS Codeと同じように、拡張機能を入れて機能を増やせます。Cursorは、自社で拡張機能のマーケット（配布所）を運営しています。
10月29日、このマーケットに、Claude Codeの拡張機能の改ざん版（2.1.313）が置かれました。配布されていたのは、アメリカ太平洋時間で午前2時27分ごろから午後1時35分ごろまで（日本時間では10月29日18時27分ごろから30日5時35分ごろまで）です。
Cursorは、この改ざん版はAnthropicが作ったものではないとしています。どうやってマーケットに置かれたのかは、まだ明らかにされていません。
改ざん版がしようとしたこと
改ざん版には、本物の拡張機能に66行ほどの不正なプログラムが足されていました。エディターを起動して拡張機能が読み込まれるだけで動き、Claudeに何かを頼む必要はありません。
Cursorと、分析したセキュリティ研究者の報告によると、次のようなことをしようとします。
| しようとすること | 中身 |
|---|---|
| パソコンの情報を集める | パソコン名、ユーザー名、OS、作業中のフォルダー、Gitに登録したメールアドレス、グローバルIPアドレス、環境変数の名前（値は含まない）など |
| 「裏口」の鍵を置く | 攻撃者のSSHの鍵を、パソコンに入るための鍵の一覧（authorized_keys）に書き加える。目印は「svc-telemetry」という文字 |
| 外から入れるようにする | SSHの機能をオンにし、攻撃者のサーバーへの通信路（リバーストンネル）を開こうとする |
| 居座る | 再起動しても動き続けるよう、MacではAppleの部品を装った自動起動の設定、Windowsでは「SysMon」という名前のタスクなどを登録する |
| 結果を知らせる | 集めた情報と、裏口づくりの結果を攻撃者のサーバーに送る |
「起動するだけで侵入される」は本当？
SNSでは「起動するだけで外部から侵入できる」と書かれていますが、Cursorの説明はもう少し細かいものです。
- SSHの機能をオンにするには管理者の権限が必要なので、ふつうに使っていればこの段階は失敗することが多い（Cursorを管理者として起動していた場合は別）
- ただし、失敗しても、鍵の書き込み・自動起動の登録・情報の送信は行われる
- 攻撃者のサーバーは、すでに停止させた
つまり、すぐに侵入されたとは限りませんが、裏口の「準備」は残っている可能性があります。Cursorも、SSHの段階が失敗していても対処するよう求めています。
対象になる人・ならない人
| 使い方 | 対象になる？ |
|---|---|
| Cursorに、Claude Codeの拡張機能を入れていた | 対象の可能性あり（10月29日に2.1.313に更新された場合） |
| VS Codeに、マイクロソフトのマーケットからClaude Codeの拡張機能を入れていた | 公式の配布物に影響があったという情報はありません |
| ターミナルでClaude Codeを使っている | 拡張機能の問題なので、対象ではありません |
| ブラウザーやアプリでClaude（チャット）を使っている | 対象ではありません |
最初は、Cursor以外のエディター向けの配布所（Open VSX）で見つかったと報じられました。しかし、その後、出どころはCursorのマーケットだったと訂正されています。Cursorは、ほかのバージョンや公式の配布物に影響があった形跡はないとしています。
被害を受けたか確認する方法
1. 拡張機能のバージョンを見る
Cursorの拡張機能の画面で、Claude Codeの拡張機能のバージョンを確認します。2.1.313だった場合、または10月29日〜30日朝にかけて自動で更新された覚えがある場合は、次の確認に進んでください。
2. 「svc-telemetry」の鍵がないか調べる
Macでは「ターミナル」を開いて、次のコマンドを実行します。何も表示されなければ、鍵は書き込まれていません。
grep svc-telemetry ~/.ssh/authorized_keysWindowsでは「PowerShell」を開いて、次のコマンドを実行します。こちらも、何も表示されなければ鍵は書き込まれていません。
Select-String -Pattern svc-telemetry -Path "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" -ErrorAction SilentlyContinue3. 自動起動の設定やファイルが残っていないか見る
Cursorが公開している、改ざん版が残す主な痕跡です。
- Mac：
~/Library/LaunchAgents/com.apple.sysmond.plist、~/.config/.smt、~/.config/.smtk - Windows：タスクスケジューラの「SysMon」というタスク、スタートアップフォルダーの
sysmon.cmd、%USERPROFILE%\.config\smt.cmd、%USERPROFILE%\.config\smtk - 動いているプログラム：
ssh -N -Rやautossh -M 0を含むもの
com.apple.sysmond は名前こそAppleの部品のようですが、Appleのものではありません。
見つかった場合にやること
- そのパソコンをネットワークから切り離す
- Cursorの発表ページで公開されている駆除用のスクリプトを実行する（拡張機能、自動起動の設定、通信路、攻撃者の鍵を取り除き、残っているものがあれば知らせてくれます）
- 拡張機能を削除するだけでは不十分です。自動起動の設定が別に残っていることがあるためです。不安が残る場合は、パソコンを初期化して入れ直すことも検討します
- そのパソコンから使えたパスワード、APIキー、SSHの鍵、各種サービスのログインを、別の安全なパソコンから作り直す
集められたのは環境変数の「名前」だけですが、裏口が残っていれば、あとから中身を読まれるおそれがあります。Cursorも、念のため認証情報を作り直すよう求めています。
この事件から考えたいこと
今回の改ざん版は、よく知られた本物の拡張機能の名前とバージョンのまま、ふだん使っている配布所から、自動更新で届いた可能性があります。利用者が怪しいものを自分から入れたわけではありません。
このように、信頼している配布元や取引先を経由して入り込む攻撃は「サプライチェーン攻撃」と呼ばれます。完全に防ぐのは難しいので、次のような備えで被害を小さくすることが大切です。
- 開発に使うパソコンに、パスワードやAPIキーを平文で置きっぱなしにしない
- 使っていない拡張機能や認証トークンは削除する
- エディターを管理者の権限で起動しない（今回も、管理者として起動していると被害が大きくなるおそれがありました）
- 社内で使っているAIツールと拡張機能を把握し、今回のような発表があったらすぐに確認できる体制をつくる
C-TechLabにできること
C-TechLabでは、AIツールを業務や開発に取り入れるお手伝いと、その後の安全な運用を支援しています。
- 社内や外注先で使っているAIツール・拡張機能の洗い出し
- 今回のような事件が起きたときの被害の確認と、認証情報の作り直し
- 開発用のパソコンやサーバーの設定の見直しと、安全に使うための社内ルールづくり
「自分たちで確認するのは不安」という場合も、お気軽にご相談ください。
よくある質問
Claude Codeの拡張機能の改ざん版とは何ですか？
2026年10月29日に、AIエディター「Cursor」の拡張機能マーケットで配布された、Claude Codeの拡張機能のバージョン2.1.313のことです。Anthropicが作ったものではなく、パソコンに攻撃者のSSHの鍵を書き込み、外から入るための通信路を開こうとする不正なプログラムが足されていました。配布されていたのは日本時間で10月29日18時27分ごろから30日5時35分ごろまでで、影響を受けた可能性があるのは最大5,000人とされています。
Claudeのチャットを使っているだけですが、対応は必要ですか？
必要ありません。今回の問題は、Cursorに入れるClaude Codeの拡張機能の改ざん版によるもので、ブラウザーやアプリでClaudeのチャットを使っているだけの人は対象ではありません。
VS Codeを使っています。影響はありますか？
改ざん版が配布されていたのはCursorの拡張機能マーケットです。マイクロソフトのマーケットで配布されているClaude Codeの拡張機能など、公式の配布物に影響があったという情報は、2026年10月30日時点ではありません。念のため、拡張機能のバージョンが2.1.313になっていないかを確認すると安心です。
被害を受けたかどうか、どうやって確かめればいいですか？
パソコンに入るための鍵の一覧（Macでは ~/.ssh/authorized_keys）に「svc-telemetry」という文字が含まれていないかを調べます。あわせて、Macでは ~/Library/LaunchAgents/com.apple.sysmond.plist、Windowsではタスクスケジューラの「SysMon」というタスクが登録されていないかを確認してください。見つかった場合は、パソコンをネットワークから切り離し、Cursorが公開している駆除用のスクリプトを実行します。
拡張機能を削除すれば大丈夫ですか？
拡張機能を削除するだけでは不十分です。改ざん版は、拡張機能とは別に自動起動の設定や鍵を残すため、削除しても裏口が残ることがあります。駆除用のスクリプトで痕跡を取り除いたうえで、そのパソコンから使っていたパスワードやAPIキーを、別の安全なパソコンから作り直してください。
参考情報
- Cursor「Security notice — malicious version of Anthropic.claude-code (2.1.313) identified in the Cursor Extension Marketplace」（2026年10月29日）
- OpenSourceMalware「Trojanized Claude Code Extension Plants Persistent SSH Backdoor」
- GBHackers「Malicious Claude Code VS Code Extension Installs Persistent SSH Backdoor to Give Attackers Remote Access」（2026年10月30日）
- Unite.AI「Cursor Discloses SSH Backdoor Attempt in Malicious Claude Code Extension」
