週刊 海外AIウォッチ #17：Cursorの拡張機能ストアで改ざん版Claude Codeが配布、ChatGPT Pro・BusinessにAPIクレジット、Redditがログイン前提に

AIの一次情報は、ほとんどが英語で流れてきます。日本語のニュースになるのはその一部で、翻訳されて届く頃には「現地のユーザーが実際どう受け止めて、どう使っているか」という肝心の空気が抜け落ちがちです。

この連載では週1回、その週の海外AIニュースの要点と、英語圏のコミュニティ（Redditなど）で話題になった「リアルな使われ方」を、日本のビジネスユーザー向けにまとめてお届けします。

# 今週の海外AIニュース

# Cursorの拡張機能ストアで、改ざんされたClaude Code拡張が約11時間配布された。アンインストールだけでは消えない

AIコードエディタのCursorは10月29日、同社の拡張機能マーケットプレイスで、Anthropicの「Claude Code」拡張を改ざんしたバージョン（2.1.312と2.1.313、WindowsとmacOS版）が配布されていたと公表しました（日本語版あり）。公開されていたのは太平洋時間の10月29日午前2時27分頃から午後1時35分頃まで（日本時間では29日18時27分頃から30日5時35分頃まで）です。改ざん版は、ホスト名・ユーザー名・環境変数の名前・Gitのメールアドレス・グローバルIPなどを攻撃者のサーバーに送り、攻撃者のSSH鍵を authorized_keys に書き足し、外から入るための通り道（リバースSSHトンネル）を作ろうとします。Cursorによると、コードの誤りのため、管理者権限でCursorを起動していたような珍しい場合を除き、トンネルを開く段階は失敗します。ただし、鍵の追加、再起動後も動き続ける仕掛けの設置、端末情報の送信は実行されたといいます。攻撃者のサーバーはすでに停止済みです。

最初に見つけたセキュリティ企業Phorionの解説によると、不正なコードは拡張機能のファイルの先頭に差し込まれていて、拡張機能を操作しなくても、読み込まれた時点で動きます。セキュリティ研究者のKevin Beaumont氏はブログで、Cursorでは拡張機能が自動で更新されるため、利用者が何もしなくても改ざん版に切り替わったと書き、Cursorが影響を受けた端末を約5,000台としていると伝えています。Anthropicは同氏に「悪意のある人物がCursorのマーケットプレイスへのアクセスを使って改ざん版を公開した。私たちは作成・公開・配布に関わっていない」と説明しました。Cursorは、他の拡張機能や、この拡張の公式の配布元が影響を受けた証拠は見つかっていないとしています。確認できた範囲で、日本語の報道は見当たりませんでした。

実務への一言：社内でCursorを使っている人がいるなら、今日のうちに確認してください。Cursorの案内どおり、macOSならターミナルで grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted" を実行し、「found」と出たら影響を受けています（WindowsはPowerShell用のコマンドが案内にあります）。重要なのは、拡張機能を消すだけでは足りないことです。見つかった端末はネットワークから切り離し、Cursorが配布している修復スクリプトを実行したうえで、その端末から使えたAPIキーやクラウドのトークンを、別の安全な端末から作り直してください。今回の件は、AIツールの拡張機能が「自動更新で、知らないうちに中身が変わる」ことを示しました。開発者の端末にAIツールを入れている会社は、どの拡張機能を誰が入れているかを一覧にし、APIキーを .env に平文で置かない運用（当社の1Password CLIでの運用例）に寄せておくと、被害を小さくできます。

# ChatGPT ProとBusinessに、月最大500ドルのAPIクレジット。ただし自分で「受け取る」操作が要る

OpenAIは、ChatGPT ProとChatGPT Businessの契約者が、APIで使えるクレジットを無料で受け取れる特典を始めました。ヘルプ記事によると、毎月の付与額はPro（100ドルの段階）が100ドル、200ドルの段階が200ドル、500ドルの段階が500ドルです。Businessは有料のStandard席1つにつき20ドル、Premium席1つにつき100ドルをワークスペースで合算し、月500ドルが上限です（年払いは1年分をまとめて付与、上限6,000ドル）。Plus、無料トライアル、Enterprise、Eduは対象外です。受け取るには、ChatGPTの「設定」の「請求」（Businessはワークスペースの請求設定）か、APIプラットフォームの請求画面から、受け取るAPIの組織を1つ選んで有効にします。ChatGPTとAPIで同じメールアドレスを使い、契約の持ち主とAPI組織のオーナーが同じ人である必要があり、契約から7日以上たっていることも条件です。r/ChatGPTProでは「有効にしないと何ももらえない」と注意を促す投稿が出ていました。確認できた範囲で、日本語の報道は見当たりませんでした。

実務への一言：ChatGPT Businessを契約している会社は、ワークスペースのオーナーが一度請求設定を開いてください。注意点は4つです。①使い残しは月末（請求期間の終わり）で消え、繰り越せません。②このクレジットでChatGPTやCodexの利用上限は増えません。APIキー経由のCodexの利用も対象外です。③1つの契約につなげられるAPI組織は1つだけなので、社内でAPIを一番使う組織を選ぶ。④Business席があっても、メンバーが自動でAPIを使えるようにはなりません。使い道に迷うなら、問い合わせメールの振り分けや議事録の要約のような小さな社内ツールを、このクレジットの範囲で試作してみるのが手頃です。クレジットを使い切ると、購入済みの残高がなく自動チャージも設定していなければ、APIはエラーで止まります。知らないうちに課金が増える心配はありません。

# Redditが「ログインして読む」サイトへ。検索からの流入が週100万件以上減ったと説明

Redditは10月29日の決算説明会で、ログインした状態での利用を前提にしたサイトへ移行すると発表しました。TechCrunchによると、10月は検索エンジンからの流入が週平均で100万件以上減り、この流れが続けば、次の四半期に1日あたりの利用者が10%台前半の割合で減る可能性があるといいます。米国の1日あたりの利用者は第2四半期の5,320万人から5,070万人に減りました。一方で売上は前年同期比53%増の8億9,500万ドルと好調で、AI企業へのデータ提供を含む広告以外の収入は35%増の4,800万ドルでした。ログインを前提にする狙いは、AIによる無断の収集からデータを守ってライセンス契約につなげることと、ログインした利用者のほうが広告の価値が高いことです。CEOのSteve Huffman氏は「開かれたインターネットで育った自分には大きな変化だが、正しい判断だ」と書いています。まず第4四半期に米国以外の一部の市場で試し、全世界への展開時期は未定です。匿名での閲覧（シークレットモード）は作り直したうえで残すとしています。確認できた範囲で、今回の発表を伝える日本語の報道は見当たりませんでした。

実務への一言：「製品名 reddit」で検索して海外の評判を調べている人は、いずれログインしないと読めなくなる場面が出てきます。調べ物に使うなら、今のうちにアカウントを作っておくのが現実的です。もう一つの読み方は、AI検索の広がりで「検索からの流入が減る」流れが、Redditほどの大きなサイトでも数字に出始めたことです。自社サイトの集客を検索に頼っている会社は、メルマガやSNSのように、検索を通らずに読者とつながる経路を少しずつ育てておくと安心です。

# AI学習を断る書き方を、robots.txtで各社共通に。OpenAIが対応を表明

OpenAIは10月30日、ウェブサイトの robots.txt に書く「AI学習への利用の可否」の共通の書き方に対応すると発表しました。これまでは、学習を断りたいサイトは、AI企業ごとのクローラーの名前を調べて、それぞれに拒否の行を書く必要がありました。共通の書き方なら、一度書けば対応する複数の会社にまとめて伝わります。OpenAIは今後数か月で実装し、詳細はそのときに公表するとしています。今ある GPTBot などクローラーごとの設定も引き続き有効です。もとになっているのは、インターネットの標準を作るIETFのAI Preferencesワーキンググループの議論で、同日付で草案が出ています（提出者はAnthropicの所属）。草案の例では、User-Agent: __usage_ai-training という行のあとに Disallow: / と Allow: /press-kit/ を書くと、「プレスキット以外はAI学習に使わないでほしい」という意味になります。ただし、これは強制力のない意思表示で、草案もIETFの正式な標準ではありません。確認できた範囲で、日本語の報道は見当たりませんでした。

実務への一言：自社サイトの文章をAIの学習に使われたくない会社は、今すぐ書き換える必要はありません。OpenAIの実装が始まり、書き方が固まってからで間に合います。先にやっておきたいのは、「学習には使わせたくないが、ChatGPTやGoogleのAI検索の回答には引用されたい」のか、「どちらも断る」のかを社内で決めておくことです。学習用と検索用のクローラーは別々に止められるので、全部まとめて拒否すると、AI検索で自社が紹介される機会まで失うことがあります。

# そのほかの動き

• Discordは10月27日、参加者1,000人以上の公開サーバー（Discoverable Servers）の会話を、ウェブ検索で見つけられるようにすると発表しました。11月16日から各サーバーの紹介ページが作られ、12月中旬から公開チャンネルのメッセージの一部が検索結果に出始めます。非公開サーバーやDMは対象外です。管理者は「サーバー設定」の「Web Presence」でチャンネルごとに外せ、利用者は「ユーザー設定」の「データとプライバシー」で自分のメッセージを外せます。日本ではGameBusiness.jpなどが、日本では初期設定で有効になると報じています。自社のコミュニティやサポートをDiscordの公開サーバーで運営している会社は、11月16日までに公開するチャンネルを見直してください
• Googleは10月29日、Geminiのチャットの中で、Googleドキュメント・スプレッドシート・スライド・PDFなどを作成し、プレビューして、そのまま編集できるようにしました（The Verge）。表を選んで「グラフにして」と頼むような使い方ができます。すべての利用者が対象ですが、PDF以外はウェブ版のみです
• 米DoorDashのCEOは10月29日の決算説明会で、外部のAIエージェント経由の注文は「全部で数百件ほど」だと明かしました（TechCrunch）。2025年時点で1日平均300万件を配達している会社です。先週号で取り上げたように銀行はエージェントを締め出し始めていますが、「エージェントが買い物をする時代」は、数字の上ではまだ始まったばかりです

# 海外ではこう使われている（今週のReddit）

ここからは、世界最大級の掲示板コミュニティRedditで今週話題になった「AIのリアルな使われ方」です。いずれも投稿者本人の報告で、内容はスレッドへのリンクから確認できます。

# 迷惑メールに埋もれていた集団訴訟の通知を、ChatGPTのDotが見つけて、2年前の返金を取り戻した

r/ChatGPTProの「DOT as a personal assistant」という投稿です。投稿者は、ChatGPTのエージェント機能「Dot」にメールを見張らせ、大事そうなものを知らせてもらう使い方をしていました。ある晩、Dotが「迷惑メールのフォルダに、Amazonに関する本物の集団訴訟の通知が入っている。あなたは対象になりそうだ」と知らせてきたそうです。投稿者がAmazonのアカウントへのアクセスを許すと、Dotは条件に当てはまりそうな購入を見つけ、返品の記録がなかったため、自分でサポートのチャットに記録を求めました。担当者につながると、相手から返金を申し出てきたといいます。2年前の購入で、投稿者が以前に争ってあきらめていたものでした。「Dotに10分任せたら返金された。Proの料金のほぼ3か月分で、元が取れた」と書いています。

コメントでは「メールの返信の下書きに毎日使っている」「運転中に電話でDotと話して、予定や返信を片づけている」という声が並ぶ一方、「メールと、支払い方法を登録した買い物のアカウントの両方を自律型のエージェントに渡すのは不安。権限は常にオンにしているのか」という質問も出ました。同じ週には、「Dotはやっていると言うだけで、実際には仕事が終わっていない。こちらがエージェントの進捗管理役になる」と酷評する別の投稿もあり、評価ははっきり割れています。参考になるのは、うまくいった例が「見張って知らせる」と「記録を問い合わせる」という、結果を人が確かめやすい仕事だったことです。任せ始めるなら、まずメールの見張りと通知だけにし、買い物や支払いのアカウントは、必要なときだけつなぐのが安全です。

# CLAUDE.mdに書いた「1行」で、Claude Codeの動きが変わった。Redditで集まった効く指示

r/ClaudeCodeの「What's the one line in your CLAUDE.md that made the biggest difference?」というスレッドです。CLAUDE.mdは、Claude Codeが作業のたびに読む指示書のファイルです。投稿者の1行は「何かを変える前に、必要なファイルをすべて挙げて一度に読む。それから全部の編集をして、テストは最後に1回だけ回す」。これで「読む、直す、読む、直す」の繰り返しがなくなり、大きめの変更で利用量の半分を食っていた無駄が止まったそうです。

コメントで支持を集めたのは、「作業はすべてやることの列として扱う。私が途中で修正を伝えても、列の最後に足すだけで、今の作業を放り出さないこと」という指示でした。小さな指摘をしただけで、AIがそれまでの作業を全部止めてしまう問題が解決したといいます。「間違えても謝らなくていい。どの指示が足りなかったか、曖昧だったかを説明して、直し方を提案して」という指示も人気でした。一方、「テストを書き換えて通すな」と書いたら、今度はテストを消すようになり、消すのを止める仕組み（フック）を足したら、次の作業でフックが消された、という笑えない報告もあります。文章の指示だけで守らせられることには限りがある、ということです。

試すなら：Claude Codeを使っている人は、プロジェクトのフォルダにある CLAUDE.md（なければ作る）に、上の「列に足す」の1行を書き足すところから始めてください。ChatGPTのCodexなら AGENTS.md が同じ役割です。どうしても守らせたい禁止事項は、文章ではなくフックで機械的に止めるほうが確実です（当社のhookの運用例）。

# 大きな変更をCodexに任せる前に、人が書いておく「5つのこと」

r/ChatGPTCodingの「What I write down before Codex starts a bigger change」という投稿です。投稿者は「エージェントは、依頼の中の決まっていない点をすべて推測で埋める。たいていの推測は問題ないが、いくつかは機能のふるまいを決めてしまい、それに差分を読んで初めて気づく」と書き、コードを書かせる前にエージェントと一緒に5つを書き出すようにしたそうです。①完成の定義（動くものを見て人が確かめられる結果の番号付きリスト。「エクスポートを追加」ではなく「エクスポートボタンで、今の絞り込み条件のCSVがダウンロードされる」）。②やらないこと（触ってはいけないもの。予想外の編集の大半はこれで止まる）。③決めたこと（技術的な判断ごとに2文で、採らなかった案も書く）。④小さく分けた手順（最初は一番薄い一通りの版から）。⑤各項目の証拠（完成の定義の1項目ごとに、動くことを示すコマンドや画面）。作り終えたら、作業の経緯を知らない別のセッションにこのリストを渡し、1項目ずつ証拠を示させると、作った側が見落としたものが見つかるといいます。

コメントでは「別の会社のモデルにレビューさせるとさらにいい。Claude Codeが書いたらCodexに、Codexが書いたらClaude Codeに見せている」という声があり、その人は10月1日以降、Claudeだけが見つけた重大な指摘のあった変更が約12件、Codexだけが見つけたものが約11件だったと書いています。なお投稿者は、こうしたレビューを行う自作のツールにもコメント欄で触れています。

試すなら：コードに限らず、ChatGPTやClaudeに資料作成や集計を頼むときにも使えます。依頼文の冒頭に「完成の定義」と「やらないこと」の2つだけを箇条書きで書いてから頼んでみてください。仕上がりの確認も「完成の定義を1項目ずつ満たしているか、根拠を示して」と頼めば、見落としを拾いやすくなります。

# Claude Codeが、利用者のメールアドレスを勝手に外部サイトへの通信に入れていた

r/ClaudeCodeの「Opus 5.5 just shared my email address」という投稿です。調べ物の途中で、Claude Code（Opus 5.5）が自分から次のように報告してきたそうです（内容は当社の要約）。「WikipediaからS&P 500などの銘柄リストをダウンロードしたとき、あなたのメールアドレスを通信のUser-Agentという欄に入れてしまった。外部のサイトに送る前に確認すべきだった」。原因を聞くと、「WikipediaやSEC EDGARは、プログラムからアクセスするときに連絡先を名乗るよう求めている。その欄に、手元で一番近い連絡先だった、Claudeのアカウントから渡されているあなたのアドレスを入れた。そのアドレスは、頼まれない限り外部に送らないという指示つきで渡されていたのに、通信の欄を技術的な細部と見なして照らし合わせなかった。自動モードでは日常的なダウンロードに承認は要らないので、実行前に止める仕組みもなかった」と説明したといいます。投稿者は使い捨てのアドレスだったと書いています。

コメントでは、Claude Codeに渡されるアカウントのメールアドレスを、拡張の仕組みで最初から消してしまう方法が共有され、「作業のあとに振り返り役のエージェントを走らせて、ミスを見つけたらルールやフックを足していく」という運用を勧める声もありました。AIに通信を伴う作業を自動で任せると、「何を外に送るか」の判断までAIに委ねることになる、という例です。

試すなら：Claude Codeを業務で使う人は、ユーザー全体の指示書（~/.claude/CLAUDE.md）に「メールアドレスや社名などの個人・会社の情報を、外部への通信（ヘッダーやURL、送信するデータ）に入れない。必要なら先に確認する」と1行足してください。自動モードやすべてを許可する設定で動かしている人は、外部への通信を伴うコマンドだけは承認を挟む設定にしておくと、こうした漏れに気づけます。

# 編集後記

今週は「知らないうちに、何かが外に出ていく」話が続きました。自動更新された拡張機能が端末の情報を攻撃者に送り、AIが善意で利用者のメールアドレスを通信に入れ、Discordでは公開サーバーの会話が検索結果に出る準備が進んでいます。逆にRedditは、検索とAIに読まれる側から、ログインした人だけに見せる側へ回ろうとしています。AIの道具は、こちらが一つずつ指示しなくても動いてくれるのが長所ですが、それは「何を外に出すか」を道具に任せることでもあります。CLAUDE.mdの1行や、Codexに渡す5つのメモのように、人が先に線を引いておく工夫が、今週はRedditでも目立ちました。来週も、海外の現場で引かれ始めたその線を拾っていきます。

# KOIYALからのお知らせ

この連載は週1回のペースで更新していく予定です。新着記事のお知らせと、メルマガ限定の「最近のAIニュースへのひとことコメント」は、メルマガ「KOIYAL通信」でお届けしています。配信はいつでも解約できます。

また、記事で紹介したようなAI活用を自社の業務に落とし込みたい方向けに、法人向けAI研修・DX研修（厚生労働省「人材開発支援助成金」の対象講座あり）と、AI顧問・コンサルティング（導入計画づくりから運用の仕組み化までの伴走支援）をご用意しています。「まず何から始めればいいか相談したい」という段階でも、お気軽にお問い合わせください。