Cursor、流出の影響は2025年の履歴が中心　被害は利用者の0.05%未満

Cursorを使っているなら、まず確認したいのは2点です。Privacy Modeを使っていたかどうかと、Cursorからの通知が届いたかどうかです。Cursor公式ブログの11月13日付の報告によると、Privacy Modeを使っている人のプロンプトとコードは影響を受けていません。

Cursorは、AIがコードの作成を手伝うエディタです。10月29日に、AnthropicのClaude Code拡張機能の偽物がCursorの拡張機能の配布サイトに現れました。今回の報告は、その2週間の調査結果です。

発端は委託先Fireworksのキー漏れ

Cursorによると、きっかけは外部の委託先Fireworksに渡していたアクセスキー（システムに入るための鍵）でした。このキーはFireworks側で露出し、攻撃者がそれを使いました。

攻撃者が複製したのは、データ共有用の読み取り専用の保管場所です。中身は、Privacy Modeを使っていないセッションのコーディングエージェントの履歴（トレース）で、大半は2025年のものでした。Cursorはこれをモデルの学習に使うことを認められていました。

履歴の一部には、伏せられていない認証情報が残っていました。APIの認証情報が露出したのは、利用者の0.01%未満です。

攻撃者は、この認証情報を足がかりにCursorが使う一部のSaaSツールに入りました。SaaSとは、ネット経由で使う業務ソフトのことです。そこから次のデータに触れました。

• 古い非本番のソースコード保管庫（業務上の連絡先を含むものあり）
• 限定的なカスタマーサポートのデータとメールのやり取り
• 製品の利用指標と連絡先
• 一部のコーディングエージェントの会話の要約
• 利用者がサポートに送った一部の認証情報

Cursorの監視システムが不正を見つけ、委託先のキーを無効にしました。そのうえで認証情報の失効と入れ替えを進め、追加の侵入を探しました。

Cursorは、証拠が示す範囲を大きく超えて社内サービスと製品サービスを一時的に止めたと説明しています。この影響で、一部の機能が一時的に使えなくなりました。各サービスは、安全を確認してから戻しています。

偽のClaude Code拡張機能は約11時間配布された

10月29日、攻撃者は盗んだ認証情報を使い、AnthropicのClaude Code拡張機能の偽物を、Cursorの拡張機能配布サイトのキャッシュ（一時保存）に直接置きました。Anthropicはこの偽物を公開しておらず、Anthropic製品の脆弱性でもないとCursorは説明しています。配布元のOpen VSXにも、マルウェアは入っていませんでした。

偽物を受け取った可能性があるのは、10月29日に特定のキャッシュ版を取得した最大5,000人です。配布は約11時間続き、その後に削除されました。Cursorは拡張機能の配布サイトを止め、攻撃者のサーバーを置くクラウド事業者と協力して停止させました。

Cursorは10月30日に、ブログとXでセキュリティ通知を出しました。侵害の痕跡、対処手順、システムを調べるスクリプトが載っています。

Anthropic.claude-codeの2.1.312か2.1.313をCursorの配布サイトから入れた、または更新した人は、この通知の手順に従う必要があります。拡張機能を消すだけでは足りない場合があります。

影響を受けなかったもの

Cursorは、次のものは影響を受けていないとしています。

• Privacy Modeを使っている人のプロンプトとコード
• 現在Cursorに送っているデータや通信
• Cursorを動かす本番システムと基盤
• Cursorアプリと公式アップデート（配布は別のコード管理システムで、署名鍵も漏れていない）
• Cloud Agents、Grok Botなど他の製品
• 偽物以外の拡張機能（すべて本物と確認し、配布サイトを見直して作り直した）
• 顧客のコードリポジトリ

Privacy Modeを使っていない人のうち、履歴が露出したのは利用者の0.05%未満です。Cursorは該当者を特定して直接通知しており、通知が届いていなければ、その履歴にあなたのデータは含まれていません。

Cursorがとった対策

Cursorは推論（学習済みAIに答えを出させる処理）をすべてFireworksから外し、同社のキーを無効にしました。共有していたデータへのアクセスも断ちました。

見つかった露出済みの認証情報は、リスクの高いものから入れ替えました。証拠がなくても、社内システムで使う認証情報はすべて入れ替えています。

ほかに、次の対策を実施したと説明しています。

• 盗まれた認証情報が想定外の場所で使えないよう、ネットワークのアクセス制限を拡大
• 全コードリポジトリでシークレットスキャン（認証情報の混入検知）を導入
• 本番の基盤とサービスをすべて再展開
• 外部のフォレンジック専門家（調査の専門家）に協力を依頼

サイソクの見方：2つの条件で自分の対応が決まる

今回の影響は、Privacy Modeの利用と、拡張機能の入れ方の2点でほぼ決まるとみられます。履歴が露出したのは利用者の0.05%未満で、認証情報まで露出したのは0.01%未満と、規模は小さいと考えられます。

判断の目安は次のとおりです。

• Privacy Modeを使い、10月29日に拡張機能を入れていない人は、通知が届いていなければ追加の対応は不要とみられます。
• Privacy Modeを使っておらず、通知が届いた人は、通知に書かれた認証情報の失効を優先するとよいでしょう。
• 10月29日にClaude Code拡張機能を入れた、または更新した人は、バージョンを確かめ、2.1.312か2.1.313なら10月30日の通知の手順に従ってください。

サイソクの過去記事では、AIが脆弱性を見つけて攻撃手順を組み立てる話も取り上げています（Anthropic、未公開AIでChromeやSafariなどの深刻な脆弱性を発見）。AIが攻撃にも使われる流れの中で、開発ツールの配布経路も狙われると考えられます。

管理者・チームでCursorを使っている企業へ

認証情報が露出した場合、Cursorはチームの管理者に、入れ替えるべき具体的なキーの一覧をメールで送りました。その認証情報を発行した外部サービスにも、失効を依頼しています。

カスタマーサポートや業務データが関係した可能性がある場合も、顧客に直接通知しています。問い合わせ先は security@cursor.com です。