【緊急警告】Claude Codeの拡張機能が改ざん。最大5,000人に影響の可能性。AI開発ツールがハッキングの入口になる時代。
本日も六本木某所から。
もし、毎日仕事で使っているAI開発ツールに、知らないうちにハッカーが仕込んだプログラムが混ざっていたら。
しかも、そのプログラムがあなたのPCに、外部から侵入するための「裏口」を作ろうとしていたら。
これは仮定の話ではありません。
2026年10月29日、AIコードエディタを提供するCursorが、重大なセキュリティインシデントを公表しました。
対象となったのは、AnthropicのAI開発ツール「Claude Code」の拡張機能。
Cursorの拡張機能マーケットプレイスで、悪意あるコードが組み込まれたバージョンが配布されていたのです。
影響を受けた可能性のあるユーザーは、最大5,000人。
しかも、攻撃者が狙っていたのは、単なるパスワードの窃取だけではありません。
開発者のPCに、後から外部アクセスできる仕組みを残すことでした。
今回は「AI × CYBER SECURITY — サイバー脅威の新時代」7日間特集の2日目です。
昨日は、AIによってサイバー攻撃のコストが下がる問題を取り上げました。
今日は、さらに厄介な問題について考えます。
AIを使って攻撃されるだけではない。AIを使うための道具そのものが、攻撃の入口になる。
これは、AI時代の企業経営にとって見過ごせない問題です。
1. 何が起きたのか
Cursorの公式発表によると、2026年10月29日、米国太平洋時間の午前2時27分頃から午後1時35分頃まで、悪意を持って改変されたClaude Code拡張機能が配布されていました。
問題のバージョンは「Anthropic.claude-code 2.1.313」。Cursorの続報では「2.1.312」も対象に加えられています。
重要なのは、この悪意あるバージョンをAnthropicが開発したわけではないということです。
また、Claude Codeのすべての利用者が影響を受けたわけでもありません。
今回確認されたのは、Cursorの特定の拡張機能マーケットプレイスで配布されたパッケージの問題です。
Microsoftも、悪意あるパッケージはVisual Studio Marketplaceやnpmには公開されておらず、これらの配布経路は影響を受けていないと報告しています。
では、その改ざんされた拡張機能は何をしようとしていたのでしょうか。
PCの情報を収集する。
攻撃者が管理するSSH公開鍵を追加する。
外部から接続するための通信経路を作ろうとする。
さらに、PCを再起動しても動作を継続できる仕組みを設置しようとする。
いわゆる「バックドア」です。
ただし、実際に5,000台のPCが遠隔操作されたと確認されたわけではありません。
Cursorによると、悪意あるコードの不具合や管理者権限の不足により、多くの環境ではSSHサービスの有効化に失敗します。
攻撃者のサーバーも停止されています。
それでも、悪意ある鍵や継続実行の仕組みが残る可能性があるため、対象者には確認と修復が求められています。
ここは、数字のインパクトと確認済みの被害を混同してはいけない部分です。
2. なぜ開発者のPCが狙われるのか
僕が今回の事件で最も重要だと感じたのは、攻撃対象です。
一般的な利用者のPCももちろん重要です。
しかし、ソフトウェア開発者のPCには、企業の重要な資産へつながる情報が集まっていることがあります。
ソースコード。
GitHubなどのリポジトリへのアクセス権限。
クラウドサービスの認証情報。
開発用APIキー。
データベースへの接続設定。
本番環境へのデプロイ権限。
決済サービスなどの外部システムとの接続情報。
すべての開発者がこれらを保持しているわけではありません。
しかし、権限の管理が不十分な環境では、開発者のPCが侵害されることによって、会社の複数のシステムに被害が広がる可能性があります。
例えば、会社のWebサイトを直接攻撃するのではなく、そのWebサイトを開発している担当者のPCを狙う。
そこから開発環境や認証情報にアクセスできれば、攻撃者にとって別の入口が生まれるかもしれません。
会社のサーバーを守っていても、会社を作っている人のPCが守られていなければ、十分とは言えない。
これが今回の事件から考えるべき重要な点です。
3. 信頼しているソフトウェアほど危険な場合がある
今回の事件は、AIそのものが悪意を持って行動した事例ではありません。
AIの推論能力を利用した攻撃でもありません。
正規の開発ツールに見える拡張機能の配布経路が悪用された、ソフトウェアのサプライチェーンに関わる問題です。
ここは区別する必要があります。
ただ、AI開発ツールが普及するほど、この種の問題の影響は大きくなると僕は考えています。
なぜなら、開発者は日常的に拡張機能を導入し、更新するからです。
作業効率を高める。
新しいAIモデルを使う。
コードを自動生成する。
エラーを解析する。
こうした便利な機能が増えるほど、外部のソフトウェアを信頼して実行する機会も増えます。
しかも、開発ツールは一般的なWebサイトよりも強い権限を持つことがあります。
ファイルを読み書きする。
ターミナルを実行する。
外部サービスに接続する。
プログラムをインストールする。
便利さの裏側には、それだけ大きな権限が存在しています。
AI開発ツールは、会社の生産性を高める道具であると同時に、権限管理を間違えれば大きなリスクにもなる。
4. 「公式だから安全」という前提が崩れる
ここからは経営者としての考察です。
これまで多くの企業は、ソフトウェアの導入に際して、提供企業の知名度や信頼性を重視してきました。
有名企業が提供している。
利用者が多い。
公式マーケットプレイスに掲載されている。
だから安心だと考える。
もちろん、提供元の信頼性を確認することは重要です。
しかし、それだけでは十分ではありません。
ソフトウェアが利用者に届くまでには、複数の工程があります。
開発。
ビルド。
公開。
配布。
更新。
インストール。
このどこかが侵害されれば、正規の製品に見えるものが攻撃の入口になる可能性があります。
今回の事件で重要なのは、Claude Codeという製品の名前ではありません。
利用者が信頼している配布経路に、悪意あるプログラムが入り込んだことです。
これはAI開発ツールに限らず、企業が使うさまざまなソフトウェアに共通する問題です。
5. AI社員が普及したら、問題はさらに複雑になる
今後、AIエージェントが会社の業務を実行する場面は増えていくでしょう。
AIがコードを書く。
AIが外部サービスを接続する。
AIがデータを分析する。
AIが業務ツールを呼び出す。
人間の社員が一つずつ操作していた仕事を、AIがまとめて実行するようになるかもしれません。
そこで問題になるのが、権限です。
AIにどこまでアクセスを許可するのか。
新しいツールを誰が承認するのか。
外部へ情報を送信する前に確認が必要なのか。
重要なシステムの変更を誰が検証するのか。
これらを曖昧にしたまま自動化を進めれば、便利さと引き換えに危険な構造を作る可能性があります。
僕は、AIを企業に導入する際には、単に優秀なAIモデルを選ぶだけでは足りないと思っています。
必要なのは、AIを安全に働かせるための組織設計です。
権限を分離する。
重要な操作には承認を設ける。
実行した内容を記録する。
異常があれば停止できるようにする。
そして、問題が発生したときに責任の所在を明確にする。
こうした仕組みが、AI時代の企業インフラには欠かせなくなるでしょう。
6. 今回の事件から企業が学ぶべきこと
では、企業は何をすればいいのでしょうか。
まず、どの開発ツールや拡張機能が導入されているのかを把握することです。
次に、更新経路や配布元を確認すること。
そして、開発者のPCに不要な権限や認証情報を集中させないことです。
今回の該当バージョンを対象期間に導入した可能性がある場合には、Cursorが公開した公式の確認・修復手順に従う必要があります。
単に拡張機能を削除するだけでは、不正な設定が残る場合があるとCursorは警告しています。
認証情報の変更や端末の隔離が必要になるケースもあります。
重要なのは、問題が起きてから慌てて対処するのではなく、普段から被害を限定できる設計にしておくことです。
これはセキュリティ担当者だけの仕事ではありません。
経営判断の問題でもあります。
最後に
昨日の記事では、AIがサイバー攻撃のコストを下げる可能性について書きました。
そして今日の事件が示しているのは、もう一つの現実です。
AIを使うための環境そのものが、攻撃対象になっている。
AIが高度化すればするほど、企業は多くの仕事をAIに任せられるようになるでしょう。
しかし、そのAIを動かすソフトウェアや接続先が安全でなければ、どれだけ優秀なAIでも会社を守ることはできません。
僕は、これからのAI企業にとって最も重要な競争力の一つは、単なる開発速度ではなくなると思っています。
速く作れること。
安全に動かせること。
問題が起きても、会社を止めずに立て直せること。
この3つを同時に実現できる企業が、長期的に信頼を獲得するのではないでしょうか。
AI時代に必要なのは、AIを信用しないことではありません。
AIを安心して使える仕組みを作ることです。
明日のDAY 03では、さらに踏み込みます。
「あなたのAI社員が、会社の機密情報を持ち出す日。」
AIが外部の情報を読んだだけで、なぜ危険な行動に誘導される可能性があるのか。
その仕組みを考えます。
皆さんは、AIに仕事を任せるとき、どこまでの権限を与えても安全だと思いますか？