コマンドラインによる攻撃は、CursorのAIコーディングエージェントにおける懸念すべき脆弱性を明らかにしました。攻撃者は、注入されたコマンドを利用して、エージェントをローカルシェルに変えることができました。この侵害は、AIツールを使用するシステムのセキュリティに重大な影響を及ぼします。開発者は、環境の整合性を損なうリスクを冒すことなく、これらの技術の統合を再考すべきです。プロンプトの巧妙な操作は、重要な欠陥だけでなく、内部手続きも隠れた脅威にさらします。
Cursorにおける脆弱性の発見
AimLabsのサイバーセキュリティ研究者が、AI支援コーディングソフトウェアCursorに深刻な脆弱性を報告しました。この問題はデータポイズニング攻撃として特定され、攻撃者はユーザーのデバイス上でリモートコード実行権を取得できたとされています。これは、AIが開発ツールに統合されることで増大するリスクを強調する、警戒すべき状況です。
脆弱性のタイムライン
AimLabsは7月7日にCursorチームにこの欠陥を報告しました。Cursorのバージョン1.3用に修正されたアップデートが翌日にはオンラインにされました。しかし、以前のすべてのバージョンは、外部ソースからの単純なプロンプト注入を利用した攻撃に対して脆弱なままです。
脆弱性の仕組み
この脆弱性は、CVE-2025-54135という識別子の下で追跡されており、CursorとModel Contest Protocol (MCP)サーバーとの間の相互作用中に現れます。このプロトコルは、ツールがSlackやGitHubなどのさまざまな外部ツールにアクセスすることを可能にします。しかし、悪意のあるプロンプト注入によって操作が容易になっています。
研究者たちは、Cursorのエージェントが有害な指示によって悪用される可能性があることを示しました。攻撃者は1行のコードを使用して、ホストデバイス上で開発者権限を持つCursorの動作に影響を与えることができます。これらのコマンドの実行は、ユーザーがそれを拒否する機会なしに行われます。
Slackを介した操作行為
攻撃中、研究者たちはSlackを通じてプロンプトを直接注入し、CursorがMCPサーバーを介して取得した情報を利用しました。このプロンプトはCursorの設定ファイルを変更し、悪意のあるスタートコマンドを持つ追加のサーバーを追加しました。これらの変更が加えられると、Cursorはすぐに有害な指示を実行します。
ユーザーへの影響
この種の脆弱性は、開発プロセスに統合されたAIシステムの脆弱性を示しています。AIモデルは、外部ソースからのコマンドを常にインジェストすることで、新しい脅威を招く可能性があります。悪意のあるドキュメントやファイルがAIエージェントをローカルシェルに変えることができるため、重大なリスクをもたらします。
AimLabsは、多くの開発者や組織が関連するリスクを十分に理解せずにAIシステムを採用していることを強調しています。第三者からの指示に敏感なAIエージェントは、攻撃の潜在的なベクターとなります。
問題の概要
この脆弱性の修正が実施されたものの、AimLabsはこの種の欠陥が多くの言語モデルの運用上の内因であると指摘しています。セキュリティの問題は、AIエージェントが外部プロンプトを解釈する方法から生じることがよくあります。この脆弱性は、過去のインシデントに響くパターンとなっています。
たとえば、類似した脆弱性がさまざまな文脈で既に発現しています。AIモデルの出力実行と外部指針との関係は、複数のプラットフォームを通じて持続するリスクを生じさせます。モデルの本質自体が、この悪用に対する露出を助長します。
よくある質問
CursorのAIコーディングエージェントに対するコマンドライン攻撃の影響は何ですか？
このような攻撃により、攻撃者はユーザーのシステムのリモート制御を奪い、被害者が気づかないまま悪意のあるコマンドを実行することができるため、データとシステムのセキュリティが損なわれる可能性があります。
攻撃はどのようにしてCursorのAIコーディングエージェントをローカルシェルに変えることに成功しましたか？
攻撃はCursorとModel Contest Protocol (MCP)サーバー間の通信における外部プロンプトから悪意のあるコマンドを注入することに依存しており、攻撃者はエージェントの動作を操作することができます。
この脆弱性の影響を受けるCursorのバージョンはどれですか？
7月8日に公開されたバージョン1.3のアップデート以前のすべてのバージョンはこの攻撃に対して脆弱なままであり、最新のバージョンは特定された問題を修正します。
この攻撃でどのようなデータが悪用される可能性がありますか？
攻撃者は、Cursorの開発環境に統合されているSlackやGitHubなどの外部サービスからのデータを利用して、悪意のある指示を注入することができます。
将来的にこの攻撃の犠牲にならないためにはどうすればよいですか？
ソフトウェアを最新バージョンに常に更新し、外部サービスとの接続を監視し、コーディングエージェントの疑わしい挙動に対して警戒を怠らないことが重要です。
Cursorを使用する開発環境を保護するためにどのようなセキュリティ対策が必要ですか？
定期的なアップデートに加えて、厳格なアクセス制御を実施したり、侵入検知ツールを使用したり、ユーザーにソーシャルエンジニアリングの試みを認識するよう教育したりすることが推奨されます。
コマンドライン攻撃はCursorに特有の問題ですか？
いいえ、この種の脆弱性は、外部ソースからの指示に依存する類似の言語モデルを使用する多くのシステムに影響を与え、共通のセキュリティリスクを露呈します。
