総合リスク: 高 Anysphere(米国) 公開日: 2026年8月22日最終確認日: 2026年8月22日

評価: Cursor — 企業導入可否

執筆: AI Security Watch 編集責任者・参考文献 9件・本記事は判断材料の提供を目的としており、法的助言ではありません

3行まとめ

Privacy Modeを有効にすればコードは学習に使われず、モデルプロバイダーとはゼロデータ保持契約が結ばれる。ただし自分のAPIキーを使う場合は適用外
本当のリスクはデータの扱いではなく、開発端末での任意コード実行。2025年から2026年にかけてCVSS 9.8を含むRCE脆弱性が繰り返し公表されている
エージェントの自動実行を無効化し、常に最新版へ更新できる体制があれば条件付き可。バージョン管理を各開発者任せにしている組織では不可

基本情報

提供元 / 所在国	Anysphere / 米国
公開日	2026年4月2日
提供形態	デスクトップアプリ(Windows / macOS / Linux)。Free / Pro / Business / Enterprise。評価時点の最新メジャーバージョンは 3.0

判定サマリ

想定用途	判定	主な理由
公開リポジトリ・OSSの開発	可	コードが公開情報であれば、送信・保存に関する論点が実害につながりにくい。ただし開発端末の任意コード実行リスクは残るため最新版の維持は必要
自社の非公開コードの開発(Enterprise契約・エージェント自動実行を無効化)	条件付き可	Privacy Mode の組織強制、監査ログ、最新版の維持、自動実行の無効化がすべて満たされていることが前提
MCPで社内システムや外部SaaSと連携させる運用	条件付き可	接続先を管理者が許可したものに限定し、社外の人間が書き込める経路を接続対象に含めないことが前提
開発者が個人契約のFree / Proを業務で使う運用	不可	Privacy Mode を組織で強制できず、監査ログも取得できない。バージョン更新も個人任せになり、RCE脆弱性への対応が担保できない
本番環境の認証情報を持つ端末で、エージェントの自動実行を有効にする運用	不可	プロンプトインジェクションの成立が、そのまま本番環境への到達に直結する

評価軸

各軸は「事実→根拠→評価」の順で記載しています。評価は断定ではなく、条件付きの判断材料です。

A. コードの送信先とデータの保存中

事実: Cursor はプロンプトとコードのコンテキストを OpenAI、Anthropic、Google などのモデルプロバイダーへ送信する。コードベースのインデックス作成では、分割されたコードがサーバーへ送信されるが、「埋め込みを計算するための平文コードはリクエストの生存期間を超えて存在しない」とされ、保存されるのは埋め込みベクトルとコードベースに関するメタデータ(ハッシュ、ファイル名)である。コードそのものの保存を必要とする機能は Cloud Agents で、これは任意機能であり、セキュリティポリシーがコードの保存を禁じている場合は有効化しないことで回避できる。

根拠: Cursor「Data Use & Privacy Overview」/ Cursor Docs「Privacy and data」

評価: リスク中。「コードが外部へ送られるか」への回答は、送られる、である。ただし平文コードの保持はリクエスト単位に限定され、恒久的に保存されるのは埋め込みとファイル名等のメタデータとされている。審査上の争点になりやすいのはファイル名で、リポジトリの構造や製品のコードネームがファイル名から推測できる組織では、この点を許容できるか個別に判断する必要がある。Cloud Agents を有効化するとコードの保存が発生するため、この機能の可否は独立した判断項目として扱うこと。

B. 学習利用とPrivacy Mode 中

事実: Privacy Mode を有効にすると「顧客データは Cursor による学習に使用されない」とされ、Cursor はすべてのプロバイダーとゼロデータ保持(ZDR)契約を維持しているとしている。ただし不正使用の検知に該当した場合は調査のため保存されうる。Privacy Mode が無効の場合は、コードベースのデータ、プロンプト、エディタ操作、コードスニペットが製品改善のために利用・保存され、推論プロバイダーがモデルの入出力を一時的にアクセス・保存する場合がある。Privacy Mode は Enterprise チームでは既定で有効で、管理者が組織全体に強制できる。ゼロデータ保持は、利用者が自分の API キーを使う場合には適用されない。

根拠: Cursor「Data Use & Privacy Overview」/ Cursor Docs「Privacy and data」

評価: リスク中。Privacy Mode を組織全体で強制できるのは Enterprise プランの機能であり、個々の開発者が Free / Pro を各自で契約して使っている状態では強制できない。この差が実務上は最も大きい。また自分の API キーを使う運用ではゼロデータ保持契約が適用されないため、「Privacy Mode を有効にしているから安全」という説明は、API キーの持ち込みを許している環境では成立しない。

C. リモートコード実行の脆弱性(DuneSlide) 高

事実: 2026年7月1日、Cato AI Labs が Cursor の2件の脆弱性 CVE-2026-50548 および CVE-2026-50549 を公表した。CVSS スコアは 9.8(CVSS 4.0 では 9.3)。プロンプトインジェクションによって Cursor のコマンド実行サンドボックスから脱出し、開発者のマシン上で任意のコマンドを実行できる。ユーザーの操作を必要とせず、クリックする対象も承認ダイアログも存在しない。両脆弱性は2026年4月2日に公開された Cursor 3.0 で修正されており、3.0 より前のすべてのバージョンが影響を受ける。実際の攻撃に使われた形跡はないとされている。

根拠: The Hacker News「Critical Cursor Flaws Could Let Prompt Injection Escape Sandbox and Run Commands」/ Cato Networks「DuneSlide: Two Critical RCE vulnerabilities via Zero-Click Prompt Injection in Cursor IDE」

評価: リスク高。この評価で最も重い項目。影響が「AIの回答が不正確になる」ではなく「開発端末で任意のコマンドが実行される」である点が、他の生成AIサービスと決定的に異なる。開発端末には通常、ソースコード、クラウドの認証情報、本番環境への接続情報が同居しており、侵害された場合の到達範囲が広い。ユーザー操作が不要なため、開発者への注意喚起では防げない。防御は「常に最新版であること」に依存する。

D. MCP設定を経由した攻撃(CurXecute / MCPoison) 高

事実: 2025年8月1日、Aim Security が CVE-2025-54135(通称 CurXecute、深刻度 8.6)を公表した。すでに開発者が承認済みの Slack MCP サーバーが処理した細工されたメッセージが、Cursor にグローバルの ~/.cursor/mcp.json を書き換えさせ、攻撃者が管理するコードを指す新しいサーバー項目を挿入させる攻撃連鎖が実証された。Check Point Research は CVE-2025-54136(通称 MCPoison)を公表し、MCP 設定を一度承認させたあと、2度目の承認プロンプトなしに悪意あるコマンドへ差し替えられることを示した。Cursor はバージョン1.3(2025年7月29日公開)で、MCP 設定への変更は空白の追加のような軽微なものであっても承認プロンプトを必須とするよう修正した。

根拠: Tenable「FAQ: CVE-2025-54135, CVE-2025-54136 Vulnerabilities in Cursor (CurXecute, MCPoison)」/ Check Point Research「Cursor IDE's MCP Vulnerability」/ Aim Security「When Public Prompts Turn Into Local Shells」

評価: リスク高。MCP(外部ツール連携)を有効にすると、Slack や課題管理システムなど社外の人間が書き込める場所のテキストが、そのまま Cursor への指示になりうる。攻撃者は開発端末に触れる必要がなく、共有ワークスペースにメッセージを投稿するだけでよい。MCP サーバーを使う場合は、接続先を管理者が明示的に許可したものに限定し、外部からの書き込みを受ける経路(公開チャンネル、外部からの課題投稿)を接続対象に含めないこと。

E. エージェントの自動実行権限高

事実: Cursor のエージェントはファイルの編集とコマンドの実行を行える。上記 C・D の脆弱性はいずれも、外部から与えられたテキストがエージェントへの指示として解釈されることを起点としている。CVE-2026-50548 / 50549 では承認ダイアログを経ずにコマンドが実行された。

根拠: 上記 C・D と同じ出典

評価: リスク高。エージェントにコマンドの自動実行を許す設定(いわゆる自動承認)は、プロンプトインジェクションが成立した瞬間に任意コード実行へ直結する。生産性の観点では自動実行を有効にしたくなるが、企業利用では既定で無効とし、実行前の承認を必須にすること。加えて、開発端末に本番環境の長期認証情報を置かない、リポジトリの認証情報は短期のトークンにするなど、侵害を前提とした被害の限定策を併せて講じる。

F. 基盤コンポーネントの更新遅延中

事実: OX Security は、修正済みの Chromium 脆弱性 CVE-2025-7656 が Cursor と Windsurf の最新版に対して有効であることを実証し、両製品が古い Chromium ビルドを使っていることに由来する既知の脆弱性が94件以上あるとして、180万人の開発者が影響を受けると報告した。

根拠: OX Security「Forked and Forgotten: 94 Vulnerabilities in Cursor and Windsurf Put 1.8M Developers at Risk」(ベンダーの反論・修正状況は各社の発表を確認のこと)

評価: リスク中。Cursor は VS Code のフォークであり、上流(VS Code / Electron / Chromium)の修正が反映されるまでに時間差が生じる構造にある。この構造的な遅延は個別の脆弱性を修正しても解消しない。脆弱性管理の対象一覧に Cursor を含め、上流の Chromium に重大な脆弱性が出た際に Cursor 側の対応を追跡する担当を決めておくこと。なお本項目は調査を行った事業者による発表であり、件数の評価には Cursor 側の見解を併せて確認することが望ましい。

G. 第三者認証・管理機能低

事実: Cursor は SOC 2 Type II の認証を取得しており、定期的なペネトレーションテストを実施しているとしている。保存時は AES-256、転送時は TLS 1.2 以上で暗号化される。Enterprise プランでは、AI が生成したコードの追跡 API と監査ログ、モデルへのアクセス制限と Privacy Mode の組織全体への強制、Customer Managed Encryption Keys(CMEK)が提供される。

根拠: Cursor「Security」/ Cursor Docs「Privacy and Data Governance」/ Cursor Trust Center

評価: リスク低。監査ログと Privacy Mode の強制は、企業導入の審査で求められる項目を満たしている。ただしこれらは Enterprise プランの機能であり、開発者が個別に Pro を契約している状態では利用できない。導入を認めるなら組織契約に一本化すること。個人契約が混在している状態は、統制がないのと同じ。

導入する場合の統制条件

以下をすべて満たす場合に限り、「条件付き可」の用途で利用可。

Cursor を組織契約に一本化し、開発者の個人契約を業務で使わせていない
Privacy Mode を管理者が組織全体に強制している
エージェントのコマンド自動実行を既定で無効にし、実行前の承認を必須にしている
バージョンを資産管理の対象に含め、最新のメジャーバージョンへ更新されていることを確認できる
MCP の接続先を管理者が許可制にし、社外から書き込める経路(公開チャンネル・外部投稿を受ける課題管理)を接続していない
開発端末に本番環境の長期認証情報を置かず、短期トークンに切り替えている

今すぐやるべきアクション

社内で使われている Cursor のバージョンを洗い出し、3.0 より前のバージョンが残っていないか確認する
MCP を有効にしている開発者に、接続しているサーバーの一覧を提出させる
生成AI利用ルールの「利用可能サービス一覧」に、契約形態ごとの可否と条件を追記する
AIコーディング支援ツールを脆弱性管理の対象一覧に追加し、追跡の担当を決める

この評価記事の位置づけ

本記事は Cursor の開発体験や生産性を評価するものではなく、「企業が業務でこのツールを使ってよいか」という導入判断のための材料を整理したものです。評価軸ごとに「事実 → 根拠(出典) → 評価」の順で記載しており、事実と評価を混在させないようにしています。

評価は断定ではなく、条件付きの判断材料です。実際の導入可否は、自社の取扱情報の区分と開発環境の構成に基づき、判断してください。

この評価で最も重要な論点

AIコーディング支援ツールの審査は、たいてい「コードが外部へ送られるか」から始まります。Cursor の場合、答えは送られる、です。ただし Privacy Mode を有効にすれば学習には使われず、平文コードの保持もリクエスト単位に限定されます(評価軸 A・B)。ここは条件を整えれば許容できる範囲に収まります。

本当の争点は、開発端末でのコード実行です。

2025年から2026年にかけて、Cursor には繰り返しリモートコード実行の脆弱性が公表されています。CurXecute と MCPoison(2025年)は MCP 設定の書き換えを経由するもので、DuneSlide(2026年)は CVSS 9.8 でサンドボックスから脱出するものでした。いずれも起点はプロンプトインジェクション、つまり外部から与えられたテキストが、そのまま指示として解釈されることです。DuneSlide にはユーザーの操作もクリックも必要ありませんでした。

この違いは審査の性質を変えます。他の生成AIサービスの最悪ケースは「機密情報が漏れる」ですが、AIコーディング支援ツールの最悪ケースは「開発端末で任意のコマンドが実行される」です。開発端末にはソースコード、クラウドの認証情報、本番環境への接続情報が同居しています。到達範囲が違います。

したがって審査で確認すべきは、データの扱いに関するベンダーの説明よりも、次の3点です。

全開発者を最新版に保てるか(公表済みの脆弱性はすべてバージョン更新で修正されている)
エージェントの自動実行を組織として無効にできるか(自動実行が有効なら、インジェクション成立がそのままコード実行になる)
開発者の個人契約が混在していないか(Privacy Mode の強制も監査ログもバージョン統制も、組織契約でなければ効かない)

この3点を満たせない組織では、データの扱いがどれだけ良くても導入は勧められません。逆にこの3点を満たせるなら、AIコーディング支援ツールの中で Cursor の透明性は高い部類にあります。

参考リンク

最終確認日: 2026年8月22日(公開後も定期的に再確認し、この日付を更新します)