studio.tmk仕事の依頼
AI開発

その拡張機能、本物？AI開発ツールで今見直す6項目

【PR】この記事には、VPSの紹介（アフィリエイト）への案内が含まれます。紹介するサービスで安全を約束するものではありません。サイト内の案内は おすすめ（/recommend） を参照してください。

公式と同じ名前の拡張なら安全でしょうか。更新すれば、被害の確認は終わりでしょうか。

SEの視点で見ると、確認の対象はモデルの出力だけではありません。配布元、実行権限、外部への送信も運用で確認すべきところです。ここでは、ここ2週間に起きた次の3つを分けて整理し、確認用の6項目を残します。

  • Cursorのマーケットプレイスで配布された改変版Claude Code拡張
  • Claude Codeが作った通信にメールアドレスが含まれるという報告
  • 「Don't Ask Again」で承認したコマンドに含まれる秘密情報の保存

調査基準日：2026年11月7日（JST）。一次資料（公式通知・解析）と、第三者の観測・報道を区別して書きます。

結論：先に確認する6項目

  • [ ] 拡張の名前だけでなく、配布元・導入履歴・版を確認する。
  • [ ] 該当する拡張を入れた可能性があれば、更新だけで済ませずに調査する。
  • [ ] 外部通信を承認する前に、送信先と送信内容を読む。
  • [ ] 認証情報を作業フォルダや依頼文に置かず、権限を分ける。
  • [ ] 「今後確認しない」で保存された承認ルールと、その公開履歴に秘密情報が含まれていないか確認する。
  • [ ] 疑わしい挙動があれば止めて、証拠を残し、信頼できる環境から復旧する。

「有名な拡張だから」「最新版だから」は調査の代わりになりません。安心できる言葉より、確認できる記録を残します。

何が起きたのか――3つの話を分ける

1. Cursorで配布された改変版Claude Code拡張

Cursorの公式通知（2026年10月29日掲載、30日更新）によると、拡張マーケットプレイスで、Windows・macOS向けの改変版 anthropic.claude-code 2.1.312と2.1.313が配布されました。日本時間では10月29日18:27ごろ〜10月30日5:35ごろ（JST）にあたります。

Microsoftの解析では、問題のパッケージはVisual Studio Marketplaceにも、npmの公式パッケージ @anthropic-ai/claude-code にも公開されていないことを確認したとしています。Anthropicは自社システムは侵害されておらず、問題のパッケージも開発していないと説明しています。「Claude Code全体が侵害された」とまとめるのは不正確です。

改変部分が試みるのは、主に次の3つです。

  • 攻撃者のSSH鍵を、認可済みの鍵として追加する
  • 外向きのSSHトンネルを張り、外部から端末に入れるようにする
  • 再起動後も動き続ける仕組みを置く（LaunchAgent / crontab / タスクやStartup）

重要なのは、拡張を更新・削除しても、拡張の外に作られた変更は消えないことです。該当する導入履歴がある場合は、証拠を保存したうえで、一次資料の対処手順に沿って調べます。

2. Claude Codeが作った通信にメールアドレスが含まれる報告

これは改変版の拡張とは別の話です。Tinが11月6日に公開した記事は、Claude Codeのモデルが書いたWebリクエストのUser-Agentに、アカウントのメールアドレスが連絡先として入る問題を取り上げています。

Anthropicの公式changelogでは、2.1.317（掲載日：2026年11月3日）に「webまたはshellのツール呼び出しがアカウントのメールアドレスをネットワークに送る前に確認する」チェックが追加されています。対策が追加されたことは確認できますが、「2.1.317以降なら完全に防げる」とまでは、この記載からは言えません。

3. 「Don't Ask Again」で承認した内容が平文で残る問題

The Hacker Newsが報じたApiiroの調査では、Claude CodeでBashコマンドを「Yes, and don't ask again」で承認すると、そのコマンドが許可ルールとして .claude/settings.local.json に保存されるとされています。このときコマンドに直接書き込んだパスワードやAPIキーも、そのまま残ります。

対処は、今あるファイルを消して終わりにしないことです。公開された可能性がある認証情報は信頼できる環境から失効・再発行し、Gitの履歴やフォーク先にも残っていないか確認します。

自分の環境を確認する手順（要点）

  1. 拡張とCLIの導入履歴を確認する。今の版だけを見て、過去の導入を否定しない。
  2. 疑わしい場合は再実行せず、画面表示・時刻・関連するログを非公開で保存する。
  3. Cursorの公式通知とMicrosoftの解析にある指標と照合する。
  4. 自動承認、外部接続、連携しているサービス、サンドボックスの範囲を点検する。
  5. 保存済みの承認ルールと、そのファイルの公開・共有の履歴を確認する。見つけた秘密情報の値は、メモや記事に転記しない。
  6. 痕跡がある、または端末を信頼できる状態に戻せない場合は、隔離・専門家への相談・環境の再構築を検討する。

結果を記録するときは、「確認した範囲では該当する痕跡なし」のように、確認した範囲を必ず添えます。

常時運用する場合の選択肢

VPSに移せば安全になる、という話ではありません。専用ユーザー、通信の制限、更新、監視、バックアップまで設計して、はじめて分離した意味が出ます。また、サーバーを契約しても、手元の端末の感染が解消するわけではありません。

【PR】常時動かすサーバーが必要になったら：おすすめページのConoHa VPS案内 を参照してください。

全文・出典はnoteへ

一次資料へのリンクや詳細な出典つきの全文は、noteにまとめています。