Anthropicのモデル「Claude」の公式拡張機能が仕掛けられ、最大5,000人の開発者のワークステーションを脅かす可能性があったと、複数の情報源が金曜日に伝えた。Anthropicはこの時点で、顧客に対してこのインシデントを通知していなかった。
侵害された拡張機能は、AI支援開発ツールを提供する企業Cursorのマーケットプレイスで入手可能だった。金曜日に公開されたセキュリティ通知で、Cursorは、悪意のあるバージョン2.1.313が「最大で」5,000ユーザーに影響を与えた可能性があると述べた。これは、ユーザーがダウンロードした時、またはシステムが自動的に取得・インストールした時に発生したとみられる。
独立系研究者のKevin Beaumont氏によると、Anthropicは、前のバージョンがCursorに公開された数時間後に、バージョン2.1.314をリリースした。Beaumont氏とセキュリティ企業PhorionのCTO兼共同創業者であるLuke Roberts氏はともに、バージョン2.1.313がAnthropicの公式Cursorアカウントから配信されたと主張している。攻撃者がどのようにしてこのアカウントを乗っ取ったかについて、CursorもAnthropicも現時点では説明していない。
サプライチェーン侵害
Luke Roberts氏は、攻撃者が公式の配信チャネルへのアクセス権を取得した「サプライチェーン侵害」型のインシデントだと説明する。「悪意のあるバージョン2.1.313はAnthropicの公式アカウントから公開され、実質的にバージョン2.1.312を置き換えた」と、彼はArs Technicaに語った。彼はまた、Cursorでは拡張機能はデフォルトで自動更新されるが、ユーザーは設定でこの動作を変更できると補足した。Phorionはブログ記事でさらに詳細を公開している。
Anthropicは現時点で、このインシデントに関する顧客向けの公開通知を一切発表していない。
持続的なリモートアクセス
Cursorによると、悪意のある拡張機能は、攻撃者が制御するアクセスキーを利用して、持続的なバックドア（時間が経っても残存する隠れたアクセス手段）をインストールしようとする。このコードはWindows、macOS、Linuxで動作するように設計されていた。
Cursorの拡張機能は、統合開発環境（IDE）——プログラマーがコードを記述するツール——の権限で実行される。そのため、仕掛けられたバージョンは、インストールされると、ローカルファイル、ソースコード、およびマシンの開発ツールにアクセスできる可能性があると、通知は述べている。
