1. 今回の公表は、AIサービス全体の問題と分けて読む

Cursorの公式告知は、同社の拡張機能マーケットプレイスで配布された anthropic.claude-code の 2.1.312・2.1.313 を対象に挙げています。Windows・macOS向けで、導入・更新の時間帯は2026年10月29日午前2時27分ごろ〜午後1時35分ごろ（米国太平洋時間）です。この時間を日本時間と取り違えず、導入記録に付いたタイムゾーンも一緒に確認します。

Microsoftの分析は、Visual Studio Marketplaceとnpmの正規配布物は、この事案の影響を受けていないと説明しています。記事の対象は特定の配布経路に置かれた改ざん版であり、Claude CodeやAIサービス全体が侵害されたという説明にはしません。

ただし、別の配布元を使った記憶だけで自社の確認を終えないでください。管理者が、実際にどこから、どの版を入れたかを記録で確かめます。現在は新しい版でも、過去の自動更新で対象の版が入っていた可能性を確認する必要があります。

2. 保守先へ渡すのは、名前ではなく導入の経緯

次の表は、社内で情報を集めるための提案です。端末ごとに一行の管理表へまとめ、詳しい履歴は権限を限定した別の場所で管理する方法が考えられます。

項目 残す内容・確認する資料
公式告知 発表元、URL、確認日時、対象の配布元・版・期間。追記があればその日付
利用環境 開発ツール名・版、OS、社内の端末管理番号、利用部署と管理担当
拡張機能 表示名だけでなくID、表示される発行元、導入した版。発行元の表示だけで真正性を判断しない
配布経路 どのマーケットプレイス・公式配布先・社内配布から入れたか。導入申請や配布記録を参照
導入・更新履歴 日時とタイムゾーン、当時の版、自動更新か手動か、記録の出所。現在の版とは別欄にする
利用した業務 その端末で扱う業務と、接続していたサービスの種類。秘密情報そのものは書かない
状態と次の担当 確認済み・未確認、確認先、回答予定、利用制限の指示と実施状況

記録がないところは「未確認」とします。「入れた記憶がない」「今は一覧にない」を、過去に導入していない証拠にはしません。委託先の端末は、自社で直接調べず、契約上の窓口を通して同じ項目への回答を依頼します。

この段階の連絡に、APIキーやパスワード、顧客のファイル、ログ全文を添付する必要はありません。調査に必要な資料と、安全な受け渡し先・閲覧者を保守先と先に決めてください。非公開の資料を一般のAIチャットへ貼って判定させることも避けます。

3. 削除の前に連絡し、保全と利用制限を調整する

Microsoftは、導入・自動更新の記録を調べ、証拠を保全し、実行や不正な仕組みの設置を示す証拠がある端末を隔離するよう案内しています。また、拡張機能の削除や更新だけでは、その保存先の外に書き込まれたものは取り除けないと説明しています。

業務担当者が自己判断で初期化やログ削除を進めず、管理者・調査担当者へ連絡します。調査が終わるまで利用制限を待つという意味ではありません。 記録を残す作業と、端末の隔離・代替端末への切り替えを、担当者同士で調整します。対象の可能性がある端末で、追加のログインや業務データの入力を続けてよいかも確認してください。

公式告知に確認用の操作が載っていても、業務担当者向けの一律の実行手順にはしません。技術担当者が環境と権限、調査への影響を確認して使います。一つの痕跡が見つからないだけで、導入履歴やほかの記録の確認を省略しないことも重要です。

4. 問い合わせでは、対象確認と調査の回答を分ける

以下は、記入できる範囲を埋めて使う問い合わせ文例です。これは文面の提案で、実際に問い合わせや調査を行った記録ではありません。

件名：開発ツールの拡張機能に関する対象確認と調査の相談

公式告知（発表元・URL・確認日）を受け、当社の利用環境を確認したくご連絡しました。

現時点で分かっているのは、開発ツール・OS、拡張機能のIDと現在の版、配布元、対象端末の管理番号です。過去の導入・自動更新日時と当時の版には未確認の項目があります。

  1. 対象かどうかを、どの導入記録で確認できますか。不足する資料と、記録を保全する担当を教えてください。
  2. 利用制限・端末の隔離・代替手段について、直ちに必要な対応と担当を教えてください。
  3. 削除や更新とは別に、端末への影響を調査できますか。契約で対応できる範囲、専門窓口への引き継ぎ、資料の安全な共有方法を確認したいです。
  4. 初回の回答予定、調査範囲と費用、再開を判断するための確認項目を教えてください。

未確認の項目は、その内容と次の確認先を分けて回答いただけますと幸いです。認証情報や業務データは本連絡に添付していません。

費用と期間は、対象端末の数だけでは決まりません。履歴が残る期間、調査できる記録、端末の復旧や認証情報の変更、委託先との分担を確認して見積もりを依頼します。対象確認の初回回答と、調査・復旧完了の予定を分け、契約外の作業は着手前に責任者が範囲を確認します。

5. 再開するときは、対応結果と未確認を一緒に残す

社内の責任者には、「対象か」「必要な対処を実施したか」「何が起きたかをどこまで調べたか」「再開を認める条件」の回答を分けて渡します。調査できなかった期間・端末があれば、その範囲も残します。削除済みや通常どおり動くという報告だけで、過去の影響まで確認済みにしないでください。

認証情報やセッションへの対処が必要かも調査担当者へ確認し、必要な変更は信頼できる端末から進めます。元の端末の利用再開は、対処結果と残る不明点を責任者が確認して判断します。

再発防止の管理表には、導入を認めた拡張機能のID・配布元・承認者と、更新履歴の確認先を残す方法が考えられます。日常の保守・担当交代は業務ツールの保守と引き継ぎへ、アプリにクラウド側の権限を渡す確認は業務アプリへのアクセス許可へ進んでください。今回は端末に導入する配布物の確認であり、それぞれ別の確認です。

業務ツールの管理方法や保守の分担を見直したい場合は、システム開発・改修と連携や支援内容・料金をご覧ください。ご相談では、秘密情報を添付せず、管理上の困りごとをお伝えください。事故の調査は、契約先の管理者や専門窓口へ依頼します。