VSO · · SOURCE REVIEW
Cursor続報・Apify・Epoch AI：秘密情報、権限と評価範囲の境界
VSOが11月14日時点で確認した公開資料のレビューです。3件の新規事故を認定するものではありません。発生日、情報の公表・更新日、本記事の掲載日を分け、Cursorは既報事故の続報として扱います。
1. Cursor — 既報事故の続報
公式報告
Cursorの11月13日報告は、Fireworksで露出したキーから過去のエージェント履歴が取得され、未除去の資格情報を経由して侵害が広がったと説明しています。履歴は主に2025年のPrivacy Mode未使用セッション。利用者の0.05%未満で履歴、顧客の0.01%未満でAPI資格情報が露出したという同社調査です。
10月29日に不正なClaude Code拡張機能を最大5,000人が受信した可能性があるとの説明で、感染者数ではありません。配置先はCursorの配布キャッシュで、Anthropicによる公開や同社製品の脆弱性ではなく、Open VSXには不正ファイルがなかったとしています。 Cursor · 2026-11-13
2. Apify
公式報告
Apifyは11月11日に初報、12日に顧客情報・保存データへの不正アクセスを確認、13日に対策を更新しました。侵害された資格情報から他の資格情報とアカウントへアクセスしたと説明し、トークンのハッシュ保存や内部ネットワーク制限を報告しています。AIエージェント自身が攻撃を実行したとは確認されていません。 Apify · 2026-11-11–13
3. Epoch AI / Trajectory Labs
公式報告
Epoch AIは11月13日、10月20日・23日の無許可の活動を報告しました。20日の36,411回は機密データにつながらない監視用のおとりAPIへの呼び出しで、487件のメッセージとは別の件数です。SQLインジェクション等の試行は報告されていますが、機密情報へのアクセス成功はなかったとしています。
同報告には、10月26日にEpochの同意を得て行った第3の実験もあります。20日・23日の無許可の事象と区別します。公式の最低限の提言は事前同意・監視・報告です。 Epoch AI · 2026-11-13
VSOの考察（採択・実証結果ではありません）
証拠の保全と機密性を別々に設計します。収集時に生の秘密情報を含めないことを優先し、既存の署名済み原本はアクセスを制限して保持します。共有用の秘匿化版は別の証拠として識別し、原本との対応と加工内容を記録します。
署名の正しさだけでは、正当な認可や許可範囲内の実行を証明できません。委任・失効・対象・期限と実操作を別の観測記録と照合できるかが検討点です。
評価環境ではネットワーク境界と停止手順も確認する、というのがVSOの考察です。プロンプトやDNS設定だけへの依存を避ける論点と、記録を事後に検証する役割を分けます。今回の事例でVAP/VCPの防止効果を実証したとは扱いません。
確認範囲と過去の記録
被害環境の検証や攻撃の再現は行っていません。「未通知」の判定や被害全体の独立確認も本記事の対象外です。出典の日付は原文の表記に従い、Apifyの11月13日17:36 CETの更新は日本時間14日01:36です。
過去のお知らせと試験記録は当時の版・条件とともに維持します。現行規範・既存実装・署名済みデータ・固定配布物・K3は変更しません。