Cursor、侵入の経路を公表　委託先の鍵から「APIキー漏れは顧客の0.01%未満」

米Cursorは11月13日、10月下旬に起きたセキュリティ事件の調査結果をブログで公表した。発端は推論の委託先のFireworksに渡していたアクセスキーで、攻撃者はそこから学習用のエージェントの記録を写し、記録に残っていた認証情報を足がかりに社内のSaaSへ入った。APIの認証情報が漏れた顧客は0.01%未満で、記録が漏れたのはPrivacy Modeを使わない利用者の0.05%未満にとどまる。該当者には個別に連絡済みで、通知が届いていなければ自分の記録は漏れた範囲に入っていない。

委託先の鍵から社内SaaSへ

Cursorのブログによると、攻撃者はCursorがFireworksに発行したアクセスキーを手に入れた。鍵はFireworksの側で漏れたもので、攻撃者はこれを使い、両社がデータの受け渡しに使っていた読み取り専用のストレージから中身を写した。中身は主に2025年のコーディングエージェントの記録で、Privacy Modeを使っていないセッションのうち、モデルの学習に使う許可を得ていたものだった。

記録の一部には、伏せ字にされていない認証情報が残っていた。攻撃者はこの認証情報を足がかりに、Cursorが使う一部のSaaSに入った。そこから、保管していた本番以外の古いソースコードのリポジトリ、サポートへの問い合わせとメール、製品の利用の指標と連絡先、一部のエージェントの会話の要約に手を伸ばした。利用者がサポートに送った認証情報の一部も含まれていたという。Cursorの監視の仕組みが不正なアクセスを見つけ、同社は委託先の鍵を止めて調査を始めた。

偽の拡張は約11時間配られた

攻撃者は10月29日、社内のシステムから盗んだ認証情報を使い、米Anthropicの「Claude Code」拡張の偽の版を、Cursorの拡張ストアに配るためのキャッシュに直接置いた。Anthropicが出した版ではなく、Anthropicの製品の脆弱性でもない。拡張の元の配布元のOpen VSXにも、不正なコードは入っていなかった。

偽の版は約11時間置かれ、その日に特定の版をキャッシュから受け取った最大5000人が入れた恐れがある。対象は「Anthropic.claude-code」の2.1.312と2.1.313だ。この期間にCursorの拡張ストアから入れたか更新した人に、Cursorは最初の偽のClaude Code拡張についてのセキュリティのお知らせにある手順に従うよう求めている。拡張を消すだけでは足りないことがあるという。Cursorが最後に攻撃者の動きを見たのは11月1日で、その動きは止められた。同社は事件を封じ込めたとみている。

本番環境とアプリは無事だった

Cursorは、影響が及ばなかった範囲も挙げた。Privacy Modeを使う利用者のプロンプトとコードは漏れていない。今Cursorに送っているデータと通信も対象外で、漏れた記録は過去の分析用の保管場所に限られていた。

Cursorを動かす本番のシステム、アプリと公式の更新、顧客のリポジトリにも被害は及んでいない。同社はアプリを攻撃者が触れていない別のコードホスティングから出しており、リリースの署名鍵も漏れていないと説明した。拡張ストアのほかの拡張はすべて本物だと確認し、ストアを作り直した。Cursorのストアから入れたプラグインも影響を受けていない。

全ての鍵を替え推論を移した

対策として、Cursorは推論の通信をすべてFireworksから移し、渡していた鍵を無効にして、共有していたデータへの接続を断った。漏れた認証情報は危険の高い順に替え、漏れた証拠が無いものも含めて社内で使う全ての認証情報を替えた。認証情報が漏れた顧客には、チームの管理者に替えるべきキーの一覧をメールで送り、発行元のサービスにも無効化を頼んだ。

さらに、盗まれた認証情報を決まった場所の外で使えないよう、委託先ごとの接続元の制限を広げた。全てのリポジトリに秘密情報の検出と保護を入れ、本番の基盤とサービスはすべてデプロイし直した。外部のフォレンジックの専門家も調査に加えている。発端は1社の委託先に渡した鍵だったが、漏れたAPIの認証情報は顧客の0.01%未満にとどまり、該当者には個別の通知が届いている。

編集部の見方

編集部が重く見るのは、学習用に預けた会話の記録に、伏せ字にされない認証情報が残っていた点だ。発端は委託先の鍵だったが、被害を社内のSaaSまで広げたのは記録の中の認証情報だった。エージェントとの会話にAPIキーを貼ったことがある人は、Privacy Modeの設定と、そのキーを替えたかを確かめるとよい。一方、10月29日にCursorの拡張ストアからClaude Code拡張の2.1.312か2.1.313を入れた人は、Privacy Modeの設定に関係なく当たる。Cursorは拡張を消すだけでは足りないことがあるとしており、案内の手順を確かめたい。