チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「うちの開発チームもCursorを使っているんでしゅけど、なんか危ないって聞いたんでしゅ……」
「リポジトリを開くだけで乗っ取られるって、どういうことでしゅか？」
チップスボスっ！Cursorって人気のAIコーディングツールでしゅよね。それに重大な脆弱性が見つかったって本当でしゅか？
ボスああ、本当だ。悪意あるリポジトリを開くだけで、開発者のマシンが完全に制御される攻撃手法が公開された。AIツール自体が攻撃の入り口になる、新しいタイプのリスクだな。
AIコーディングアシスタント「Cursor」に、プロンプトインジェクションとサンドボックス突破を組み合わせた重大脆弱性が発見されました。
2026年4月にリリースされたCursor 3.0でパッチが提供されているものの、旧バージョンを使い続けている開発者は今すぐアップデートが必要です。
この記事では、攻撃の仕組みと具体的なリスク、そして取るべき対策を解説します。
日本でもAI開発ツールの採用が急速に広がっています。
「コードを書く道具」そのものが攻撃の踏み台になる時代に、開発チームのツール管理体制を見直すきっかけにしてください。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
今回明らかになったのは、Cursorが持つAIエージェント機能とリモートトンネル機能を組み合わせた複合的な攻撃です。
チップスリポジトリを開くだけって……コードを実行したわけじゃないのに侵入されるんでしゅか！？
ボスそうだ。Cursorが自動でREADMEやドキュメントを読み込み、AIに処理させる。その内容に悪意ある指示が仕込まれていたら、AIが勝手に実行してしまうんだ。
研究者が発見した脆弱性をまとめます。
| 脆弱性名 | CVE | CVSS | 概要 |
|---|---|---|---|
| DuneSlide（1） | CVE-2026-50548 | 9.8 | プロンプトインジェクションでworking_directoryをプロジェクト外に誘導し、サンドボックス外への書き込みが可能 |
| DuneSlide（2） | CVE-2026-50549 | 9.8 | シンボリックリンクのチェック失敗時にCursorが信頼してしまい、プロジェクト外への書き込みが成立 |
| NomShub | ― | Critical | 間接的プロンプトインジェクション＋サンドボックス突破＋リモートトンネル悪用の複合攻撃チェーン |
DuneSlide、NomShubともにCursor 3.0（2026年4月2日リリース）でパッチが提供されています。
現時点で実際の悪用事例は確認されていませんが、Fortuneが報じるとおりCursorは世界の大企業の半数以上が使用するツールであり、潜在的な影響規模は非常に大きいといえます。
NomShubの攻撃チェーンは、3つのステップが自動的に連鎖する点が特に危険です。
攻撃者はリポジトリのREADMEに悪意ある指示を埋め込み、被害者が開いた瞬間から以下が自動で進行します。
チップス警告もなく、気づかないうちに攻撃者のサーバーにつながっちゃうんでしゅね……怖すぎるでしゅ。
ボスしかも、Cursorが持つクラウドサービスへの認証情報もすべて盗まれる。開発者はGitHubやAWSにサインインした状態で使うことが多いからな。被害が開発者個人を超えて組織全体に広がる危険がある。
脆弱性の影響を受けるのはCursor 3.0未満の全バージョンです。以下の対策を取りましょう。
MCPサーバーや接続済みサービスを経由した間接プロンプトインジェクションのリスクもあるため、AIエージェントが自動で読み込むソースを組織として管理することが重要です。
チップスさっそくCursorをアップデートするでしゅ！それと、知らないリポジトリをむやみに開かないようにするでしゅ！
ボスふふふ、正しい判断だ。AIが「自動でやってくれる便利さ」は、裏を返せば「自動で攻撃を実行してしまうリスク」でもある。ツールを使う側が仕組みを理解することが、今の時代の基礎的なセキュリティリテラシーだな。
AIコーディングツールCursorに発見されたプロンプトインジェクション脆弱性は、「AIが便利に実行する」という設計の裏面が攻撃に転化した典型的なケースです。
Cursor 3.0へのアップデートで修正されるものの、今後も同様の手法はほかのAI開発ツールに応用される可能性があります。
開発チーム全体でAIツールのバージョン管理と利用ルールを整備することが、サプライチェーンリスクへの実践的な対策です。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
