Anthropic Claude Code 拡張機能のセキュリティインシデント：知っておくべきこと

インシデントの概要

2026年10月30日、セキュリティ研究者が Claude Code 拡張機能を使用する開発者を標的としたサプライチェーン攻撃を特定しました。悪意のあるバージョンの拡張機能（バージョン 2.1.313）が Cursor マーケットプレイスに公開され、数千もの開発環境が自動的に更新されました。この悪意のあるコードは、ユーザーの ~/.ssh/authorized_keys ファイルに攻撃者が制御する SSH キーを注入することで永続的なリモートアクセス型トロイの木馬（RAT）を確立し、脅威アクターにホストマシンへのコマンドラインアクセス権を与えました。

範囲と影響

このインシデントは、独自の拡張機能マーケットプレイスを維持している Cursor IDE のユーザーに主に影響を与えました。当初の報告では Anthropic の公式インフラが広範囲に侵害された可能性が示唆されていましたが、Anthropic の Felix 氏は同社のシステムは侵害されていないと明言しました。その代わり、攻撃者は Cursor マーケットプレイスへの不正アクセスを利用して改ざんされた拡張機能を配布しました。約5,000台の開発者システムが影響を受けたと推定されています。悪意のあるペイロードは、リバース SSH 接続を確立する前に、ホスト名、ユーザー名、OSの詳細、ホームディレクトリのパス、環境変数、および設定された Git メールアドレスを収集する偵察活動を行いました。

修復とセキュリティの推奨事項

悪意のある拡張機能はシステムレベルの SSH 設定を変更したため、パッチが適用されたバージョン（2.1.314）に更新するだけでは、バックドアや攻撃者のアクセス権は自動的に削除されません。影響を受けたユーザーは、手動でシステムを監査し、修復する必要があります。

セキュリティ専門家は、影響を受けた可能性のあるマシンに対して以下の手順を推奨しています。

• システムの隔離: 影響を受けたマシンをすべてのネットワークから切断し、既知の Wi-Fi 接続を削除してください。
• 手動でのクリーンアップ: ~/.ssh/authorized_keys を検査し、不正な公開鍵があれば削除してください。ディレクトリの権限が 0700 に、ファイルの権限が 0600 に正しく設定されていることを確認してください。
• 認証情報のローテーション: マシン上のすべての API キー、トークン、アクティブなセッションが侵害されたと想定してください。Git 認証情報、クラウドプロバイダーのキー、サービス用トークンを含むすべてのシークレットを、安全であることが確認されているマシンからローテーションしてください。
• 整合性の検証: 永続性の性質を考慮すると、脅威を完全に根絶する唯一の方法は、開発環境を完全にワイプして再イメージ化することです。

業界への影響

このインシデントは、自動拡張機能更新に依存する現代の開発ワークフローの脆弱性を浮き彫りにしました。サプライチェーン攻撃によって開発環境へのリモートアクセスが容易に得られてしまうという事実は、より厳格なセキュリティ慣行を求める声を再燃させています。

"開発は、公開ワークフローへのアクセス権を持たない隔離された VM 内で行う必要があります。CI 操作は、すべてのファイルをスキャンした後、別の VM またはホストシステム上で行わなければなりません。そうすれば、開発ツールが侵害されたとしても、影響を限定できます。" — @handle

開発者は、IDE 拡張機能がホストシステム上で高い権限で動作することが多いため、他のサードパーティ製ソフトウェアと同等のレベルで精査することを推奨します。