Anthropic、Cursor上のVS Code拡張にバックドア。約12時間

Ars Technicaによると、CursorにあったAnthropicのVS Code拡張機能に、12時間近くにわたってバックドアが仕込まれていた。

確認できたのは見出しの範囲で、攻撃の手口や、仕込まれたコードが何をするものだったのかは分からない。影響を受けた版やインストールされた数、認証情報の流出など実際の被害があったのかも、今回の材料からは読み取れない。Anthropicの公式の配布物が書き換えられたのか、別の経路の問題なのかも不明である。

エディターの拡張機能は、開発者の環境でソースコードや設定ファイルに触れられる場合がある。そのため、ここにバックドアが入ると、開発者の手元の情報が狙われる危険があるとみられる。AIコーディングの道具は開発の現場に急速に広がっており、攻撃の入口としても注目されやすい。

意味合いとしては、拡張機能を自動で更新する運用の危険を改めて示す事案といえる。利用者は、影響を受けた版や対処の方法についての公式の案内を確認する必要がある。