AIコードエディタ「Cursor」を開発する米国のAnysphere社が、2026年11月13日（米国時間）に公式ブログで出した調査結果の原文と、10月29日のセキュリティ通知、Cursorのデータ利用の説明で確認した内容だけで書いています。
Cursorは、10月末に起きたセキュリティ事故の調査結果を公表しました。発端は、AIの学習・推論を委託していたFireworks AIに渡したアクセスキーの流出です。攻撃者は、主に2025年の「プライバシーモード（Privacy Mode）ではない」利用のエージェントの作業記録をコピーし、その中に残っていた認証情報から社内のツールに入り込みました。記録が出たのは利用者の0.05%未満、APIの認証情報が出たのは顧客の0.01%未満で、Cursorは対象者に個別に連絡したとしています。
- Cursorからの個別の通知（メール・アプリ内）が来ていないか確かめます。Cursorは「通知がなければ、あなたのデータは記録に含まれていない」としています。
- エージェントの会話に貼ったAPIキーや、サポートに送ったキーに心当たりがあれば、発行元で作り直し（ローテーション）ます。
- 10月29日にClaude Code拡張機能（2.1.312・2.1.313）を入れた・更新した人は、公式の手順で感染を確かめます。
今回の発表は米国の会社の英語の公式ブログで、日本の利用者だけを分けた数字は出ていません。日本でもCursorは開発者だけでなくアプリ作りを始めた人にも使われており、「自分は対象か」「プライバシーモードはどう関係するか」が気になるところです。日本語ではAI系メディアが概要を伝えていますが、利用者がやることを整理した情報は11月15日朝の時点で多くありません。
こんな人におすすめ
- Cursorを使っていて、プライバシーモードをオフにしていた（または覚えていない）人
- エージェントとの会話にAPIキーやパスワードを貼ったことがある人
- Cursorのサポートに認証情報を送ったことがある人
- ☑ Cursorからの通知メール（迷惑メールフォルダも）とアプリ内のお知らせを確かめたか
- ☑ 2025年ごろ、プライバシーモードをオフにして使っていなかったか
- ☑ エージェントの会話やサポートへの問い合わせに、APIキー・トークン・パスワードを書いたことがないか
- ☑ 心当たりのあるキーを発行元で作り直し、古いキーを無効にしたか
- ☑ OpenAI・Anthropicなどの利用料金や利用履歴に、覚えのない使用がないか
この記事からの提案です。Cursorが「消し忘れた認証情報が記録に含まれていた」と説明していることをもとに、利用者側でできる確認をまとめました。
01何があった？（11月13日の発表）
Cursorの公式ブログによると、2週間の調査で分かった流れは次のとおりです。
| 時期 | 起きたこと |
|---|---|
| 発端 | Cursorが委託先のFireworks AIに発行したアクセスキーが、Fireworks側から流出。攻撃者はそのキーで、Fireworksとデータを共有するための読み取り専用の保管場所からデータをコピーした |
| 保管場所の中身 | 主に2025年の、プライバシーモードではない利用のコーディングエージェントの作業記録の一部（学習に使う許可を得ていたもの）。ごく一部に、消されていない認証情報が含まれていた |
| 社内ツールへ | その認証情報を足がかりに、Cursorが使う一部の業務ツール（SaaS）に入り込んだ |
| 10月29日 | 盗んだ認証情報で、Claude Code拡張機能の改ざん版を、CursorのVS Code拡張機能マーケットプレイスの配信用キャッシュに置いた（約11時間。受け取った可能性があるのは最大5,000人） |
| 10月30日 | Cursorがセキュリティ通知を公開し、影響のある利用者とチーム管理者に通知を始めた |
| 11月1日 | 攻撃者の活動を最後に確認（遮断済み）。Cursorは事故は封じ込められたとしている |
| 11月13日 | 調査結果を公表 |
Cursorは、監視システムで不正な活動を見つけ、委託先のキーを無効にし、認証情報の取り消しと作り直しを進めたと説明しています。念のため社内と製品のサービスを一時的に止めたため、一部の機能が使えない時間がありました。
Cursorの公式Xも、日本時間11月14日10時13分に調査結果の公開を知らせています。
出典：Cursor公式ブログ「An update on our recent security incident」（2026年11月13日）
02漏れたもの・漏れていないもの
| 区分 | 内容 |
|---|---|
| コピーされた記録 | プライバシーモードではない利用の、主に2025年のエージェントの作業記録の一部（利用者の0.05%未満） |
| 出た認証情報 | 記録に残っていたAPIの認証情報（顧客の0.01%未満） |
| 社内ツールから見られたもの | 本番で使っていない古いソースコードの保管庫の一部（取引先の連絡先を含むものあり）、サポートのデータとメールのやり取りの一部、製品の利用状況と連絡先、エージェントとの会話の要約の一部、利用者がサポートに送った認証情報の一部 |
| 影響なし（Cursorの説明） | プライバシーモードでのプロンプトとコード、今送っているデータ、本番のシステム、Cursorアプリと公式の更新、顧客のコードの保管庫（リポジトリ）、ほかの拡張機能、Cursorマーケットプレイスのプラグイン |
Cursorは、公式アプリの配信には攻撃者が入っていない別のシステムを使っており、配信用の署名キーも出ていないとしています。また、推論（AIへの問い合わせ）はすべてFireworks以外に移したと説明しています。
同じFireworks AIの件では、Notionも一部のワークスペースのAIチャット記録が出た可能性を公表しています（Notion AIの件の記事）。
出典：Cursor公式ブログ「An update on our recent security incident」（2026年11月13日）、BleepingComputer「Cursor confirms security breach led to malicious Claude Code extension」（米国、2026年11月14日）
03自分は対象？見分け方
Cursorからの通知があるか
Cursorは、記録が出た利用者を特定して全員に個別に通知したとしています。そして「通知を受け取っていなければ、あなたのデータはこの記録に含まれていない」と説明しています。認証情報が出た場合は、チームの管理者に作り直すべきキーの一覧をメールで送り、そのキーを発行した外部サービスにも取り消しを頼んだとしています。サポートのデータや業務データが関わる可能性がある顧客にも、直接連絡したとしています。
プライバシーモードとの関係
コピーされた記録は、プライバシーモードではない利用のものです。Cursorのデータ利用の説明では、プライバシーモードをオンにすると、利用者のデータはCursorの学習に使われず、AIモデルの提供元とはデータを保持しない契約（ゼロデータ保持）があるとしています。オフの場合は、コードやプロンプトなどを機能の改善やモデルの学習のために使い、保存することがあると書かれています。
注意したいのは、今プライバシーモードをオンにしても、過去（主に2025年）にコピーされた記録には関係しないことです。対象かどうかは、Cursorからの通知で判断してください。今後に向けては、設定画面でプライバシーモードの状態を確かめておくと安心です（この記事からの提案）。
Claude Code拡張機能を入れた人
10月29日の米国太平洋時間2時27分〜13時35分（日本時間10月29日18時27分〜10月30日5時35分）に、CursorのVS Code拡張機能マーケットプレイスからAnthropic.claude-codeの2.1.312・2.1.313をインストール・更新したWindows・macOSの利用者は、10月29日のセキュリティ通知の手順で確かめる必要があります。Cursorは、拡張機能を消すだけでは不十分な場合があるとしています。確かめ方はCursorで「Claude Code」拡張を使う方へ｜2.1.312・2.1.313の確認方法と対処で詳しく説明しています。
出典：Cursor公式ブログ「An update on our recent security incident」（2026年11月13日）、Cursor「Data Use & Privacy Overview」（2026年9月3日更新）、Cursor公式ブログ「Security notice — malicious version of Anthropic.claude-code (2.1.312 and 2.1.313) identified in the Cursor VS Code Extension Marketplace」（2026年10月29日）
04通知が来た・心当たりがあるときにやること
Cursorは、認証情報が出たケースでは作り直すキーの一覧を管理者に送ったとしています。通知が来た人、または心当たりがある人は、次の順で進めるのがおすすめです（この記事からの提案）。
- 通知の中身を確かめる：どのデータ・どのキーが対象かは、人によって違います。メールのリンクから開かず、Cursorに自分でログインして確かめると、偽メールにだまされにくくなります。
- キーを作り直す：対象のAPIキーやトークンは、発行元（OpenAI・Anthropic・GitHub・クラウドなど）の管理画面で新しく作り、古いものを無効にします。
- 利用料金と履歴を見る：盗まれたAIのキーは、他人のAI利用に使われて高額な請求につながることがあります。利用上限の設定も見直します。
- サポートに送った情報を思い出す：Cursorは、利用者がサポートに送った認証情報の一部にも攻撃者が触れたとしています。過去に送ったキーやパスワードがあれば、それも変えます。
- これからは会話にキーを貼らない：エージェントにキーを渡す必要があるときは、環境変数など、記録に残りにくい方法を使います。
AIのAPIキーが盗まれて不正に使われる「LLMジャッキング」と返金の求め方はLLMジャッキングとは？AIのAPIキー盗難が相次ぐ｜預け先の確認と不正請求の返金の求め方、利用上限の設定はAPIキーの高額請求を防ぐ上限設定｜漏洩時の確認手順で解説しています。質問は[email protected]で受け付けるとCursorは案内しています。
出典：Cursor公式ブログ「An update on our recent security incident」（2026年11月13日）
05日本の利用者への影響は？
- 国別の数字はない：Cursorは割合（0.05%未満・0.01%未満）だけを公表し、国別の内訳や人数は出していません。日本の利用者が何人含まれるかは分かりません。
- 日本の利用者も同じサービス：Cursorは日本でも同じアプリ・同じマーケットプレイスで提供されています。通知の対象になる条件も同じです。
- 通知は英語の可能性：Cursorの通知は英語で届くことが考えられます。「security」「credentials」「rotate」などの単語が入ったメールを見落とさないようにしましょう（この記事からの提案）。
- 日本の報道：11月15日朝の時点で、日本語ではAI系のニュースサイトが概要を伝えている程度です。
Cursorの基本的な使い方や料金はCursorの使い方完全ガイド｜料金・日本語対応・Agent・MCP・Automationsまで解説【2026年版】で紹介しています。
AIで作ったアプリの側の安全については、Lovableのセキュリティは大丈夫？｜7,403サイトでデータが見えた調査と、公開前のRLS確認で、公開前のRLSの確認方法をまとめています。
出典：Cursor公式ブログ「An update on our recent security incident」（2026年11月13日）
06よくある質問
私のコードは漏れましたか？
Cursorは、顧客のコードの保管庫（リポジトリ）とプライバシーモードでのコードは影響を受けていないとしています。コピーされたのは、プライバシーモードではない利用の過去の作業記録の一部で、対象者には個別に通知したとしています。
通知が来ていません。何もしなくていいですか？
Cursorは「通知がなければ記録には含まれていない」と説明しています。ただし、会話やサポートにキーを書いた心当たりがあるなら、念のため作り直すと安心です（この記事からの提案）。
プライバシーモードをオンにすれば、今回の件は解決しますか？
いいえ。今回コピーされたのは過去の記録です。オンにするのはこれからの対策で、今回の対象かどうかは通知で確かめます。
Cursorのアプリを入れ直す必要はありますか？
Cursorは、公式アプリとその更新は影響を受けていないとしています。ただし、10月29日の改ざん版のClaude Code拡張機能を入れた人は、公式の手順で確かめてください。
Anthropic（Claude）の問題ですか？
Cursorは、改ざん版はAnthropicが出したものではなく、Anthropicの製品の弱点でもないとしています。拡張機能の元の配布元（Open VSX）にもマルウェアはなかったと説明しています。
07まとめ
- Cursorの事故は、委託先Fireworks AIでのキー流出から始まり、過去のエージェントの作業記録や、サポートに送られた認証情報にまで広がった。
- 記録が出たのは利用者の0.05%未満、APIの認証情報は顧客の0.01%未満。対象者には個別に通知済みで、通知がなければ記録には含まれていない（Cursorの説明）。
- 心当たりのあるキーは作り直し、料金と履歴を確認。これからは会話にキーを貼らない。
更新履歴：2026年11月15日 初版（2026年11月13日のCursor公式発表、10月29日のセキュリティ通知、データ利用の説明にもとづく）。
参考 引用元・公式情報
確認日：2026年11月15日（日本時間）
- Cursor公式ブログ「An update on our recent security incident」（2026年11月13日）
事故の流れ（Fireworksのキー流出、作業記録、社内SaaS、拡張機能、通知、11月1日の最後の活動）、0.05%未満・0.01%未満、影響があったもの・なかったもの、通知の方法、取った対策、問い合わせ先。 - Cursor公式ブログ「Security notice — malicious version of Anthropic.claude-code (2.1.312 and 2.1.313) identified in the Cursor VS Code Extension Marketplace」（2026年10月29日）
改ざん版2.1.312・2.1.313の公開時間（10月29日 2:27〜13:35 PT）、確かめ方と取り除き方、拡張機能を消すだけでは不十分な場合。 - Cursor「Data Use & Privacy Overview」（2026年9月3日更新）
プライバシーモードのオン・オフでのデータの扱い。 - Cursor公式X（2026年11月14日 01:13 UTC＝日本時間10:13）
調査結果の公開の告知。 - BleepingComputer「Cursor confirms security breach led to malicious Claude Code extension」（米国、2026年11月14日）
調査結果の報道（補足）。
コメント