✓ Sobrevivió Puesto 1 de 8 propuestasIndie Seguridad 30 oct 2026

Monitoreo de integridad entre registros para extensiones de IDE

Toma snapshots de las versiones de extensiones de VS Code, Cursor y Open VSX, las compara entre registros y alerta a los equipos de seguridad cuando se publica una build manipulada o divergente.

Abrir el debate ↗

Un brief listo para pegar en Claude Code, Cursor o cualquier agente de programación (en inglés).

I want to build a small, bootstrappable product. Help me plan and start the MVP.

Product: Cross-registry integrity monitoring for IDE extensions
What it is: Snapshots VS Code/Cursor/Open VSX extension releases, diffs them across registries, and alerts security teams when a tampered or divergent build ships.
Who pays: Security engineering or platform leads at companies with 100+ developers using VS Code forks (Cursor, Windsurf); $500–2,000/mo from the software supply-chain security budget.
Closest alternatives: Socket, Snyk, Endor Labs, StepSecurity
The gap: Existing supply-chain tools watch package registries (npm, PyPI) and CI pipelines; nobody continuously monitors IDE extension marketplaces for tampered releases, publisher changes, or builds that diverge across registries.
Why now: Cursor and other VS Code forks now run their own extension marketplaces with separate, weaker publishing pipelines, and AI extension adoption exploded in the last year — this incident proves the attack path works.
Moat to build toward: Versioned historical snapshot database of extension bundles plus a growing dataset of benign-vs-malicious release diffs; switching costs from alert/MDM integrations.
Biggest risk: Marketplaces (Microsoft, Cursor, Open VSX) add mandatory signing and native anomaly detection, collapsing the gap before the customer base is built.

First three steps:
1. Build crawlers that snapshot the top ~500 extensions across the VS Code Marketplace, Open VSX, and Cursor marketplace, storing versioned bundle hashes and publisher metadata.
2. Build a diff engine flagging versions missing from other registries, publisher/signing-key changes, and new dangerous capabilities (child_process, writes to ~/.ssh, LaunchAgents).
3. Ship Slack/webhook alerting plus a dashboard where teams register the extensions their org uses.

Start by asking me up to five questions about constraints (stack, budget, timeline), then propose the smallest version a paying customer would use, and scaffold it.

Total6.8/10

Dolor7

Disposición a pagar6

Momento8

Hueco7

Foso5

Viabilidad8

A favor

Quién paga

Líderes de ingeniería de seguridad o de plataforma en empresas con más de 100 desarrolladores que usan forks de VS Code (Cursor, Windsurf); entre 500 y 2.000 USD/mes del presupuesto de seguridad de la cadena de suministro de software.

Lo que dijo la gente · 5

Una extensión de Claude Code con backdoor estuvo activa en el Cursor Marketplace durante unas 11 horas antes de ser retirada, con acceso total al código fuente y a las herramientas de desarrollo. Del artículo ↗
La versión comprometida apareció en Open VSX/Cursor, pero aparentemente nunca en el registro oficial de Microsoft, lo que muestra una divergencia peligrosa entre registros. Leer el comentario ↗
Los desarrolladores se dan cuenta de que las herramientas de programación con IA ejecutan código remoto no revisado a diario, y nadie verifica qué hacen realmente estas CLI y extensiones. Leer el comentario ↗
Los retrasos de auto-actualización no aplican a los 'trusted publishers', y los usuarios no pueden configurar en qué publicadores confiar, así que las actualizaciones maliciosas pueden propagarse al instante. Leer el comentario ↗
Se espera que los actores estatales apunten cada vez más a las herramientas de desarrollo y al código abierto, por lo que todos los artefactos entrantes deben tratarse como hostiles. Leer el comentario ↗

Parafraseado del debate. Sigue los enlaces para ver los comentarios originales.

Competidores y hueco

SocketSnykEndor LabsStepSecurity

Las herramientas actuales de seguridad de la cadena de suministro vigilan registros de paquetes (npm, PyPI) y pipelines de CI; nadie monitorea de forma continua los marketplaces de extensiones de IDE en busca de versiones manipuladas, cambios de publicador o builds que divergen entre registros.

Por qué ahora

Cursor y otros forks de VS Code ahora ejecutan sus propios marketplaces de extensiones, con pipelines de publicación separados y más débiles, y la adopción de extensiones de IA creció mucho en el último año; este incidente demuestra que la vía de ataque funciona.

Foso · 5/10

Base de datos histórica y versionada de bundles de extensiones, más un conjunto creciente de diffs de releases benignas frente a maliciosas; los costos de cambio crecen con las integraciones de alertas y MDM.

En contra

Equipo rojo: Un backdoor activo durante 11 horas en el marketplace de Cursor demuestra la vía de ataque, los presupuestos de seguridad de la cadena de suministro existen, y Socket/Snyk cubren npm/PyPI pero no los registros de extensiones de IDE ni la detección de divergencias entre registros.
Qué la haría fracasar: Los marketplaces (Microsoft, Cursor, Open VSX) añaden firma obligatoria y detección nativa de anomalías, cerrando la brecha antes de que se consolide la base de clientes.

Empezar

Primeros tres pasos: Crear crawlers que tomen snapshots de las ~500 extensiones principales del VS Code Marketplace, Open VSX y el marketplace de Cursor, almacenando hashes versionados de los bundles y metadatos de los publicadores.
Desarrollar un motor de diffs que marque versiones ausentes en otros registros, cambios en publicadores o claves de firma, y nuevas capacidades peligrosas (child_process, escrituras en ~/.ssh, LaunchAgents).
Lanzar alertas por Slack/webhook y un dashboard donde los equipos registren las extensiones que usa su organización.
Debate original: Backdoor in Claude Code for VS Code extension on the Cursor Marketplace ↗ 579 puntos401 comentariosDe los comentariosArtículo enlazado

Traducido del inglés. Leer el original

A favor

En contra

Empezar

Más de esta edición