AnthropicのClaude Codeを装った悪意あるVS Code拡張機能がCursorマーケットプレイスに出現し、Anthropicは標的型サプライチェーン攻撃を仕掛けた外部の攻撃者を指摘し、関与を否定した。ベンダー間の責任のなすり合いは、この事象が確認するパターンほど重要ではない。

本質的な問題は、すべての開発者のエディタ内に存在する拡張機能レイヤーが、魅力的な侵入経路となっていることだ。エンジニアはAIアシスタントに広範なファイルシステムアクセス、シェル権限、ネットワーク到達性を付与してインストールし、通常は検証済み社内ツールにのみ与える信頼を付与する。人気アシスタントの名前とアイコンを模倣する攻撃者は、その信頼を無償で継承する。発見とインストール速度に最適化されたマーケットプレイスは、開発者権限で実行されるコードのゲートキーパーとして機能するよう設計されておらず、インセンティブは依然として精査よりもリーチを重視している。Copilot、Cursor、Codiumの各エコシステムで模倣攻撃が増えると予想される。攻撃の経済性が有利で、検知体制が薄いからだ。

セキュリティ責任者にとって、これはAIコーディングツールを生産性の議論からエンドポイントとアイデンティティの問題へと再定義する。侵害されたマシンは、ソースコード、クラウド認証情報、署名鍵を保持する開発者ワークステーションであり、これはnpmやPyPIへの以前のパッケージレジストリ攻撃で見られた被害範囲そのものだ。拡張機能の出所確認、発行者検証、許可リスト管理は、企業がオープンソース依存関係に既に適用しているのと同じ厳格さに値する。

日本企業やSIerにとって、エクスポージャーは人員規模が示唆する以上に深刻だ。大手インテグレーターとその多層下請け構造は、納品スループット向上のためAIコーディングアシスタントを展開しており、セキュリティガバナンスが追いつく前に進行することが多く、共有開発者イメージや管理の緩いBYOD環境では、一つの汚染された拡張機能が顧客プロジェクト全体に拡散する可能性がある。実務的な対応は、チームを無許可インストールに向かわせる全面禁止ではなく、管理された社内拡張機能レジストリ、必須の発行者チェック、開発者エンドポイントでのエグレス監視だ。RPAやローコード運用も同じロジックに直面する。自動化権限を持つツールには、そのアクセス権に比例した出所管理が必要だ。検証可能な署名とより厳格な権限スコーピングを提供するベンダーは、機能だけで競争するベンダーよりも、日本で企業の信頼を早く獲得するだろう。