Claude Code 拡張機能のバックドア報告を読む:情シスの確認手順
3 行でわかる
- バックドア混入の報告が掲示板に出ている
- 中心は Cursor マーケットプレイスの版
- 公式版にも問題とする投稿があるが未確認
VS Code で使う Claude Code の拡張機能に、遠隔から操作されうる仕掛け(バックドア)が入っていたという報告が出ています。中心は Cursor というエディタのマーケットプレイスに置かれた版ですが、被害の範囲はまだ確認できていません。結論として、自社では拡張機能の発行元と入手経路を確かめることが、最初に取れる手立てです。
01何が起きているか
VS Code で使う Claude Code の拡張機能に、遠隔から操作されうる仕掛け(バックドア)が入っていたという報告が出ています。バックドアとは、利用者が知らないまま外部から操作や情報の持ち出しができてしまう、本来ない裏口のことです。
報告で中心になっているのは、Cursor というエディタのマーケットプレイス(拡張機能の配布場所)に置かれた版です。公式版にも問題があるとする投稿もありますが、材料の大半は掲示板への投稿です。被害の範囲や、どの版が影響を受けるのかは、材料からは分かりません。公式の情報で確かめてください。
02なぜ今なのか
この話題は、直近 24 時間で 5 件の投稿が確認できました。過去 4 日の平均は 0 件/日だったので、11 倍に増えたことになります。件数が小さい分、数字だけで重大さは判断できませんが、急に話題になっていることは分かります。
取得元は Hacker News(海外の技術系掲示板)のみです。日本の記事ではまだ取り上げられていないとみられ、日本語で状況を追いにくい段階です。情報が出そろう前なので、断定せず、続報を待ちながら自社の状況を確かめる姿勢が向いています。
おすすめ情シスが配る Claude Code 社内標準セット設定・CLAUDE.md・社内ルールのひな形一式(有料 note)→03仕組みをかんたんに
拡張機能は、エディタに後から追加する小さな部品のようなものです。コードの補完や AI との連携など、便利な機能を足せる反面、エディタの中で動くため、開いているファイルや設定にふれられる場合があります。
今回の話は、その部品に本来ない裏口が付いていた、というものです。部品は第三者が作って配布するので、入れる前に誰が出したものか、どこから入手したかを見ることが安全確認の基本になります。個々の拡張機能がどんな権限で動くかは、各拡張機能の説明や公式の情報で確かめてください。
04中小企業の情シスならどう使えるか
本業では、社内 PC の VS Code などに入っている拡張機能の一覧を作り、発行元とインストール経路を確認するきっかけにできます。普段は誰が何を入れているか把握しにくい部分なので、この機会に棚卸しをしておくと、今後の同種の報告にも落ち着いて対応できます。
副業の面では、Claude Code のツール集や拡張機能を紹介する記事を書くとき、導入前の安全確認の手順をまとめるネタにできます。たとえば「Claude Code の拡張機能、入れる前に確認したい3つのこと」という記事案が考えられます。
最初の一歩は小さくて構いません。VS Code の拡張機能一覧を開き、発行元と、公式マーケットプレイスから入手したものかを 10 分で確認してみてください。
05試す前に確かめること
拡張機能を新しく入れる前、あるいは既に入れているものを見直すときは、次の点を確かめます。報告の中身は掲示板の投稿が中心で、確定した情報ではないため、公式の発表や続報も合わせて見るようにしてください。
もし自社で該当しそうな拡張機能が見つかった場合の対応は、材料からは分かりません。公式の案内を確認し、必要なら社内で使用を一時止めるかどうかを判断してください。
導入の前に確かめること
- 拡張機能の発行元が、公式のものと一致しているか。
- 入手経路が、公式のマーケットプレイスか。
- Cursor など別のエディタで入れた版が、社内にないか。
- 公式からの注意喚起や、修正版の案内が出ていないか。
- 見覚えのない拡張機能が、いつ誰によって入ったか分かるか。
出典(この記事の材料)
→あわせて読みたい
◎次に読む
この記事は、海外の公開情報(GitHub・Hacker News など)から集めた話題の要約をもとに、AI が下書きし、自動の検査(数字・URL・表現)を通したものです。製品の機能・料金は変わることがあるため、導入の前に必ず公式の情報で確かめてください。