✓ صمدت المرتبة 1 من 8 مقترحةمستقل الأمن 30 أكتوبر 2026

مراقبة سلامة الإضافات عبر السجلات المتعددة لبيئات التطوير

تلتقط نسخًا من إصدارات إضافات VS Code وCursor وOpen VSX، وتقارن بينها عبر السجلات، وتنبّه فرق الأمن عند نشر نسخة معبث بها أو مختلفة عبر السجلات.

افتح النقاش ↗

موجز جاهز للصق في Claude Code أو Cursor أو أي وكيل برمجة (بالإنجليزية).

I want to build a small, bootstrappable product. Help me plan and start the MVP.

Product: Cross-registry integrity monitoring for IDE extensions
What it is: Snapshots VS Code/Cursor/Open VSX extension releases, diffs them across registries, and alerts security teams when a tampered or divergent build ships.
Who pays: Security engineering or platform leads at companies with 100+ developers using VS Code forks (Cursor, Windsurf); $500–2,000/mo from the software supply-chain security budget.
Closest alternatives: Socket, Snyk, Endor Labs, StepSecurity
The gap: Existing supply-chain tools watch package registries (npm, PyPI) and CI pipelines; nobody continuously monitors IDE extension marketplaces for tampered releases, publisher changes, or builds that diverge across registries.
Why now: Cursor and other VS Code forks now run their own extension marketplaces with separate, weaker publishing pipelines, and AI extension adoption exploded in the last year — this incident proves the attack path works.
Moat to build toward: Versioned historical snapshot database of extension bundles plus a growing dataset of benign-vs-malicious release diffs; switching costs from alert/MDM integrations.
Biggest risk: Marketplaces (Microsoft, Cursor, Open VSX) add mandatory signing and native anomaly detection, collapsing the gap before the customer base is built.

First three steps:
1. Build crawlers that snapshot the top ~500 extensions across the VS Code Marketplace, Open VSX, and Cursor marketplace, storing versioned bundle hashes and publisher metadata.
2. Build a diff engine flagging versions missing from other registries, publisher/signing-key changes, and new dangerous capabilities (child_process, writes to ~/.ssh, LaunchAgents).
3. Ship Slack/webhook alerting plus a dashboard where teams register the extensions their org uses.

Start by asking me up to five questions about constraints (stack, budget, timeline), then propose the smallest version a paying customer would use, and scaffold it.

الإجمالي6.8/10

الألم7

الاستعداد للدفع6

التوقيت8

الفجوة7

الخندق5

قابلية التنفيذ8

مع

من سيدفع

فرق هندسة الأمن أو قادة المنصات في الشركات التي لديها أكثر من 100 مطور يستخدمون نسخ VS Code المعدّلة (مثل Cursor وWindsurf)؛ بسعر 500 إلى 2000 دولار شهريًا من ميزانية أمن سلسلة التوريد البرمجية.

ماذا قال الناس · 5

بقيت إضافة Claude Code مخترقة متاحة على سوق Cursor لنحو 11 ساعة قبل إزالتها، ما منحها وصولًا كاملًا إلى الشيفرة المصدرية وأدوات التطوير. من المقال ↗
ظهرت النسخة المخترقة على Open VSX وCursor على ما يبدو دون أن تظهر أبدًا على سجل Microsoft الرسمي، وهذا يكشف اختلافًا خطيرًا بين السجلات. اقرأ التعليق ↗
يدرك المطورون أن أدوات البرمجة بالذكاء الاصطناعي تشغّل شيفرة بعيدة غير مفحوصة يوميًا، ولا يتحقق أحد مما تفعله فعلًا أدوات سطر الأوامر والإضافات هذه. اقرأ التعليق ↗
لا تنطبق تأخيرات التحديث التلقائي على «الناشرين الموثوقين»، ولا يستطيع المستخدمون تحديد الناشرين الذين يثقون بهم، لذا قد تنتشر التحديثات الخبيثة فورًا. اقرأ التعليق ↗
يتوقع أن تستهدف الجهات الفاعلة المدعومة من دول أدوات التطوير والمصادر المفتوحة بشكل متزايد، ويرى وجوب معاملة كل ما يصل من ملفات على أنه عدائي. اقرأ التعليق ↗

مُعاد صياغته من النقاش. اتبع الروابط لقراءة التعليقات الأصلية.

المنافسون والفجوة

SocketSnykEndor LabsStepSecurity

أدوات سلامة سلسلة التوريد الحالية تراقب سجلات الحزم (npm وPyPI) وخطوط CI/CD، لكن لا أحد يراقب بشكل مستمر أسواق إضافات بيئات التطوير بحثًا عن إصدارات معبث بها، أو تغييرات في الناشرين، أو بنيات تختلف من سجل إلى آخر.

لماذا الآن

تشغّل Cursor وغيرها من نسخ VS Code الآن أسواق إضافات خاصة بها مع خطوط نشر منفصلة وأضعف، وتبنّي إضافات الذكاء الاصطناعي تضاعف خلال العام الأخير، وهذا الحادث يثبت أن مسار الهجوم ممكن فعلًا.

الخندق · 5/10

قاعدة بيانات لنسخ تاريخية مؤرخة لحزم الإضافات، إضافةً إلى مجموعة بيانات متنامية من الفروقات بين إصدارات سليمة وخبيثة؛ وتكاليف التحويل مرتفعة بسبب تكامل التنبيهات وأدوات إدارة الأجهزة (MDM).

ضد

الفريق الأحمر: باب خلفي حيّ استمر 11 ساعة في سوق Cursor يثبت إمكانية مسار الهجوم، وميزانيات أمن سلسلة التوريد موجودة فعلًا، وأدوات Socket وSnyk تغطي npm وPyPI لكنها لا تغطي سجلات إضافات بيئات التطوير ولا تكتشف الاختلافات بين السجلات.
ما الذي قد يُفشلها: قد تضيف الأسواق (Microsoft وCursor وOpen VSX) توقيعًا إلزاميًا وكشفًا أصليًا للحالات الشاذة، فتغلق هذه الفجوة قبل أن تُبنى قاعدة العملاء.

البداية

الخطوات الثلاث الأولى: بناء زواحف تلتقط نسخًا من نحو 500 إضافة أعلى تصنيفًا عبر VS Code Marketplace وOpen VSX وسوق Cursor، مع تخزين تجزئات الحزم المؤرخة وبيانات الناشرين.
بناء محرك مقارنة يرصد الإصدارات الغائبة عن السجلات الأخرى، وتغيّر الناشر أو مفاتيح التوقيع، وظهور قدرات خطيرة جديدة (مثل child_process والكتابة في ~/.ssh وLaunchAgents).
إطلاق تنبيهات عبر Slack أو Webhook مع لوحة تحكم تسجّل فيها الفرق الإضافات التي تستخدمها المؤسسة.
النقاش الأصلي: Backdoor in Claude Code for VS Code extension on the Cursor Marketplace ↗ 579 نقطة401 تعليقمن التعليقاتالمقال المرتبط

مترجم من الإنجليزية. اقرأ النص الأصلي

مع

ضد

البداية

المزيد من هذا العدد