✓ Retenue 1e sur 8 proposéesIndie Sécurité 30 oct. 2026

Surveillance de l'intégrité inter-registres des extensions IDE

Capture les releases des extensions VS Code, Cursor et Open VSX, compare-les entre registres et alerte les équipes sécurité dès qu'un build altéré ou divergent est publié.

Ouvrir la discussion ↗

Un brief prêt à coller dans Claude Code, Cursor ou tout agent de code (en anglais).

I want to build a small, bootstrappable product. Help me plan and start the MVP.

Product: Cross-registry integrity monitoring for IDE extensions
What it is: Snapshots VS Code/Cursor/Open VSX extension releases, diffs them across registries, and alerts security teams when a tampered or divergent build ships.
Who pays: Security engineering or platform leads at companies with 100+ developers using VS Code forks (Cursor, Windsurf); $500–2,000/mo from the software supply-chain security budget.
Closest alternatives: Socket, Snyk, Endor Labs, StepSecurity
The gap: Existing supply-chain tools watch package registries (npm, PyPI) and CI pipelines; nobody continuously monitors IDE extension marketplaces for tampered releases, publisher changes, or builds that diverge across registries.
Why now: Cursor and other VS Code forks now run their own extension marketplaces with separate, weaker publishing pipelines, and AI extension adoption exploded in the last year — this incident proves the attack path works.
Moat to build toward: Versioned historical snapshot database of extension bundles plus a growing dataset of benign-vs-malicious release diffs; switching costs from alert/MDM integrations.
Biggest risk: Marketplaces (Microsoft, Cursor, Open VSX) add mandatory signing and native anomaly detection, collapsing the gap before the customer base is built.

First three steps:
1. Build crawlers that snapshot the top ~500 extensions across the VS Code Marketplace, Open VSX, and Cursor marketplace, storing versioned bundle hashes and publisher metadata.
2. Build a diff engine flagging versions missing from other registries, publisher/signing-key changes, and new dangerous capabilities (child_process, writes to ~/.ssh, LaunchAgents).
3. Ship Slack/webhook alerting plus a dashboard where teams register the extensions their org uses.

Start by asking me up to five questions about constraints (stack, budget, timeline), then propose the smallest version a paying customer would use, and scaffold it.

Global6.8/10

Douleur7

Volonté de payer6

Timing8

Manque7

Avantage défensif5

Faisabilité8

Pour

Qui paie

Responsables sécurité ingénierie ou plateforme dans les entreprises de plus de 100 développeurs utilisant des forks de VS Code (Cursor, Windsurf) ; 500 à 2 000 $/mois sur le budget sécurité de la chaîne d'approvisionnement logicielle.

Ce que les gens ont dit · 5

Une extension Claude Code backdoorée est restée en ligne sur la Cursor Marketplace pendant environ 11 heures avant son retrait, avec un accès complet au code source et aux outils de développement. Tiré de l'article ↗
La version compromise est apparue sur Open VSX et Cursor, mais apparemment jamais sur le registre officiel de Microsoft, ce qui révèle une divergence dangereuse entre registres. Lire le commentaire ↗
Les développeurs réalisent que les outils de code IA exécutent quotidiennement du code distant non vérifié, et personne ne contrôle ce que font réellement ces CLI et extensions. Lire le commentaire ↗
Les délais de mise à jour automatique ne s'appliquent pas aux « éditeurs de confiance », et les utilisateurs ne peuvent pas configurer les éditeurs à approuver. Une mise à jour malveillante peut donc se propager instantanément. Lire le commentaire ↗
L'auteur s'attend à ce que des acteurs étatiques ciblent de plus en plus les outils de développement et l'open source, et estime que tous les artefacts entrants doivent être traités comme hostiles. Lire le commentaire ↗

Reformulé à partir de la discussion. Suivez les liens pour lire les commentaires d'origine.

Concurrents et manque

SocketSnykEndor LabsStepSecurity

Les outils existants de supply chain surveillent les registres de paquets (npm, PyPI) et les pipelines CI. Personne ne surveille en continu les marketplaces d'extensions IDE pour détecter les releases altérées, les changements d'éditeur ou les builds qui divergent d'un registre à l'autre.

Pourquoi maintenant

Cursor et d'autres forks de VS Code exploitent désormais leurs propres marketplaces d'extensions, avec des pipelines de publication séparés et moins stricts. L'adoption des extensions d'IA a explosé l'an dernier, et cet incident prouve que la voie d'attaque fonctionne.

Avantage défensif · 5/10

Base de données historique versionnée des bundles d'extensions, enrichie d'un jeu croissant de diffs entre releases bénignes et malveillantes. Les coûts de changement augmentent avec les intégrations aux outils d'alerte et de MDM.

Contre

Équipe rouge: Une backdoor restée 11 heures en ligne sur la marketplace Cursor prouve la voie d'attaque et l'existence de budgets de sécurité supply chain. Socket et Snyk couvrent npm et PyPI, mais pas les registres d'extensions IDE ni la détection de divergences inter-registres.
Ce qui la ferait échouer: Les marketplaces (Microsoft, Cursor, Open VSX) imposent la signature obligatoire et intègrent une détection d'anomalies native, ce qui comblerait le manque avant que la base client ne soit construite.

Démarrer

Les trois premières étapes: Développer des crawlers qui capturent les quelque 500 extensions les plus populaires sur la VS Code Marketplace, Open VSX et la marketplace Cursor, en stockant les hashes versionnés des bundles et les métadonnées des éditeurs.
Construire un moteur de diff qui signale les versions absentes d'autres registres, les changements d'éditeur ou de clé de signature, et les nouvelles capacités dangereuses (child_process, écritures dans ~/.ssh, LaunchAgents).
Livrer des alertes Slack et webhook, ainsi qu'un tableau de bord où les équipes enregistrent les extensions utilisées par leur organisation.
Discussion d'origine: Backdoor in Claude Code for VS Code extension on the Cursor Marketplace ↗ 579 points401 commentairesDes commentairesArticle lié

Traduit de l'anglais. Lire l'original

Pour

Contre

Démarrer

Plus dans cette édition