✓ टिका 8 प्रस्तावों में 1वाँ स्थानइंडी सुरक्षा 30 अक्टू॰ 2026

IDE एक्सटेंशन के लिए क्रॉस-रजिस्ट्री इंटेग्रिटी मॉनिटरिंग

VS Code/Cursor/Open VSX पर एक्सटेंशन रिलीज़ के स्नैपशॉट लेता है, उन्हें रजिस्ट्रियों के बीच डिफ करता है, और छेड़छाड़ वाला या अलग-अलग रजिस्ट्रियों में भिन्न build आने पर सिक्योरिटी टीमों को अलर्ट करता है।

चर्चा खोलें ↗

Claude Code, Cursor या किसी भी कोडिंग एजेंट में चिपकाने के लिए तैयार ब्रीफ़ (अंग्रेज़ी में)।

I want to build a small, bootstrappable product. Help me plan and start the MVP.

Product: Cross-registry integrity monitoring for IDE extensions
What it is: Snapshots VS Code/Cursor/Open VSX extension releases, diffs them across registries, and alerts security teams when a tampered or divergent build ships.
Who pays: Security engineering or platform leads at companies with 100+ developers using VS Code forks (Cursor, Windsurf); $500–2,000/mo from the software supply-chain security budget.
Closest alternatives: Socket, Snyk, Endor Labs, StepSecurity
The gap: Existing supply-chain tools watch package registries (npm, PyPI) and CI pipelines; nobody continuously monitors IDE extension marketplaces for tampered releases, publisher changes, or builds that diverge across registries.
Why now: Cursor and other VS Code forks now run their own extension marketplaces with separate, weaker publishing pipelines, and AI extension adoption exploded in the last year — this incident proves the attack path works.
Moat to build toward: Versioned historical snapshot database of extension bundles plus a growing dataset of benign-vs-malicious release diffs; switching costs from alert/MDM integrations.
Biggest risk: Marketplaces (Microsoft, Cursor, Open VSX) add mandatory signing and native anomaly detection, collapsing the gap before the customer base is built.

First three steps:
1. Build crawlers that snapshot the top ~500 extensions across the VS Code Marketplace, Open VSX, and Cursor marketplace, storing versioned bundle hashes and publisher metadata.
2. Build a diff engine flagging versions missing from other registries, publisher/signing-key changes, and new dangerous capabilities (child_process, writes to ~/.ssh, LaunchAgents).
3. Ship Slack/webhook alerting plus a dashboard where teams register the extensions their org uses.

Start by asking me up to five questions about constraints (stack, budget, timeline), then propose the smallest version a paying customer would use, and scaffold it.

कुल6.8/10

समस्या7

भुगतान की इच्छा6

समय8

बाज़ार में कमी7

सुरक्षा कवच5

व्यवहार्यता8

पक्ष में

कौन भुगतान करेगा

100+ डेवलपर्स वाली कंपनियों की Security engineering या platform leads, जो VS Code forks (Cursor, Windsurf) इस्तेमाल करती हैं; software supply-chain security बजट से $500–2,000/महीना।

लोगों ने क्या कहा · 5

एक backdoored Claude Code extension हटाए जाने से पहले लगभग 11 घंटे तक Cursor Marketplace पर लाइव रहा, और उसे source code तथा dev tooling तक पूरी पहुँच मिली। लेख से ↗
समझौता किया गया version Open VSX/Cursor पर दिखा पर आधिकारिक Microsoft registry पर शायद कभी नहीं, जो खतरनाक cross-registry divergence दिखाता है। टिप्पणी पढ़ें ↗
डेवलपर्स समझ रहे हैं कि AI coding tools रोज़ अनजान remote code चलाते हैं, और कोई यह जाँचता नहीं कि ये CLIs और extensions असल में क्या करते हैं। टिप्पणी पढ़ें ↗
Auto-update में देरी 'trusted publishers' पर लागू नहीं होती और उपयोगकर्ता तय नहीं कर सकते कि किन publishers पर भरोसा करना है, इसलिए malicious updates तुरंत फैल सकते हैं। टिप्पणी पढ़ें ↗
उम्मीद है कि state actors dev tools और open source को अधिक निशाना बनाएँगे, इसलिए सभी आने वाले artifacts को संभावित रूप से खतरनाक मानना होगा। टिप्पणी पढ़ें ↗

चर्चा से अपने शब्दों में लिखा गया। मूल टिप्पणियों के लिए लिंक देखें।

प्रतिस्पर्धी और कमी

SocketSnykEndor LabsStepSecurity

मौजूदा supply-chain टूल package registries (npm, PyPI) और CI pipelines पर नज़र रखते हैं; IDE extension marketplaces पर छेड़छाड़ वाली रिलीज़, publisher में बदलाव, या रजिस्ट्रियों में भिन्न होते build को लगातार कोई मॉनिटर नहीं करता।

अभी क्यों

Cursor और अन्य VS Code forks अब अपने extension marketplaces चलाते हैं, जिनकी publishing pipelines अलग और कमज़ोर हैं, और पिछले एक साल में AI extensions का इस्तेमाल तेज़ी से बढ़ा है; यह घटना दिखाती है कि हमला काम करता है।

सुरक्षा कवच · 5/10

Extension bundles के versioned historical snapshot डेटाबेस के साथ benign बनाम malicious रिलीज़ diffs का बढ़ता डेटासेट; alert और MDM integrations से switching costs।

विपक्ष में

रेड टीम: Cursor marketplace पर 11 घंटे तक लाइव रहा backdoor हमले का रास्ता साबित करता है, supply-chain security बजट मौजूद हैं, और Socket/Snyk npm/PyPI कवर करते हैं पर IDE extension registries और cross-registry divergence detection नहीं।
यह किस वजह से असफल हो सकता है: Marketplaces (Microsoft, Cursor, Open VSX) अनिवार्य signing और नेटिव anomaly detection लाकर ग्राहक आधार बनने से पहले ही इस गैप को बंद कर सकते हैं।

शुरुआत

पहले तीन कदम: शीर्ष ~500 extensions के लिए crawlers बनाएँ जो VS Code Marketplace, Open VSX और Cursor marketplace से versioned bundle hashes और publisher metadata स्टोर करें।
Diff engine बनाएँ जो ऐसे versions चिह्नित करे जो दूसरी रजिस्ट्रियों में नहीं हैं, publisher/signing-key बदलाव, और नई खतरनाक क्षमताएँ (child_process, ~/.ssh में लिखना, LaunchAgents)।
Slack/webhook alerts और एक dashboard दें जहाँ टीमें अपनी org में इस्तेमाल होने वाले extensions रजिस्टर कर सकें।
मूल चर्चा: Backdoor in Claude Code for VS Code extension on the Cursor Marketplace ↗ 579 पॉइंट401 टिप्पणियाँटिप्पणियों सेजुड़ा हुआ लेख

अंग्रेज़ी से अनूदित। मूल पढ़ें

पक्ष में

विपक्ष में

शुरुआत

इस अंक से और