✓ Bertahan Peringkat 1 dari 8 usulanIndie Keamanan 30 Okt 2026

Pemantauan integritas lintas registry untuk ekstensi IDE

Mengambil snapshot rilis ekstensi VS Code/Cursor/Open VSX, membandingkannya antar registry, dan memberi peringatan ke tim keamanan saat build yang dimanipulasi atau berbeda antar registry dirilis.

Buka diskusinya ↗

Ringkasan siap tempel untuk Claude Code, Cursor, atau agen coding lainnya (dalam bahasa Inggris).

I want to build a small, bootstrappable product. Help me plan and start the MVP.

Product: Cross-registry integrity monitoring for IDE extensions
What it is: Snapshots VS Code/Cursor/Open VSX extension releases, diffs them across registries, and alerts security teams when a tampered or divergent build ships.
Who pays: Security engineering or platform leads at companies with 100+ developers using VS Code forks (Cursor, Windsurf); $500–2,000/mo from the software supply-chain security budget.
Closest alternatives: Socket, Snyk, Endor Labs, StepSecurity
The gap: Existing supply-chain tools watch package registries (npm, PyPI) and CI pipelines; nobody continuously monitors IDE extension marketplaces for tampered releases, publisher changes, or builds that diverge across registries.
Why now: Cursor and other VS Code forks now run their own extension marketplaces with separate, weaker publishing pipelines, and AI extension adoption exploded in the last year — this incident proves the attack path works.
Moat to build toward: Versioned historical snapshot database of extension bundles plus a growing dataset of benign-vs-malicious release diffs; switching costs from alert/MDM integrations.
Biggest risk: Marketplaces (Microsoft, Cursor, Open VSX) add mandatory signing and native anomaly detection, collapsing the gap before the customer base is built.

First three steps:
1. Build crawlers that snapshot the top ~500 extensions across the VS Code Marketplace, Open VSX, and Cursor marketplace, storing versioned bundle hashes and publisher metadata.
2. Build a diff engine flagging versions missing from other registries, publisher/signing-key changes, and new dangerous capabilities (child_process, writes to ~/.ssh, LaunchAgents).
3. Ship Slack/webhook alerting plus a dashboard where teams register the extensions their org uses.

Start by asking me up to five questions about constraints (stack, budget, timeline), then propose the smallest version a paying customer would use, and scaffold it.

Total6.8/10

Masalah7

Kesediaan membayar6

Waktu8

Celah pasar7

Parit pertahanan5

Kelayakan8

Pro

Siapa yang membayar

Tim security engineering atau platform lead di perusahaan dengan 100+ developer yang memakai fork VS Code (Cursor, Windsurf); $500–2.000/bulan dari anggaran keamanan supply chain perangkat lunak.

Apa kata orang · 5

Ekstensi Claude Code yang di-backdoor sempat aktif di Cursor Marketplace selama sekitar 11 jam sebelum dihapus, dengan akses penuh ke kode sumber dan tooling developer. Dari artikel ↗
Versi yang disusupi muncul di Open VSX/Cursor tetapi tampaknya tidak pernah ada di registry Microsoft resmi, menunjukkan divergensi berbahaya antar registry. Baca komentarnya ↗
Developer mulai sadar bahwa tool coding AI menjalankan kode jarak jauh yang belum diverifikasi setiap hari, dan tidak ada yang memeriksa apa yang sebenarnya dilakukan CLI dan ekstensi tersebut. Baca komentarnya ↗
Penundaan auto-update tidak berlaku untuk 'trusted publishers', dan pengguna tidak bisa mengatur publisher mana yang dipercaya, sehingga update berbahaya bisa menyebar seketika. Baca komentarnya ↗
Diperkirakan aktor negara semakin sering menargetkan tool developer dan open source, dengan argumen bahwa semua artefak yang masuk harus diperlakukan sebagai berpotensi berbahaya. Baca komentarnya ↗

Diparafrasekan dari diskusi. Ikuti tautan untuk komentar aslinya.

Pesaing dan celah

SocketSnykEndor LabsStepSecurity

Tool supply chain yang ada memantau registry paket (npm, PyPI) dan pipeline CI; belum ada yang secara terus-menerus memantau marketplace ekstensi IDE untuk rilis yang dimanipulasi, perubahan publisher, atau build yang berbeda antar registry.

Mengapa sekarang

Cursor dan fork VS Code lainnya kini menjalankan marketplace ekstensi sendiri dengan pipeline publikasi yang terpisah dan lebih lemah, sementara adopsi ekstensi AI melonjak dalam setahun terakhir. Insiden ini membuktikan jalur serangan tersebut memang bisa dipakai.

Parit pertahanan · 5/10

Basis data snapshot bundle ekstensi yang bersifat historis dan bervariasi, ditambah dataset diff rilis jinak vs berbahaya yang terus bertambah; biaya pindah tinggi karena integrasi alert dan MDM.

Kontra

Tim merah: Backdoor aktif selama 11 jam di marketplace Cursor membuktikan jalur serangannya nyata, anggaran keamanan supply chain memang ada, dan Socket/Snyk hanya menangani npm/PyPI, bukan registry ekstensi IDE dengan deteksi divergensi lintas registry.
Yang bisa membuatnya gagal: Marketplace (Microsoft, Cursor, Open VSX) menambahkan penandatanganan wajib dan deteksi anomali bawaan, sehingga celah ini tertutup sebelum basis pelanggan terbentuk.

Mulai

Tiga langkah pertama: Bangun crawler yang men-snapshot sekitar 500 ekstensi teratas di VS Code Marketplace, Open VSX, dan marketplace Cursor, dengan menyimpan hash bundle per versi dan metadata publisher.
Bangun mesin diff yang menandai versi yang tidak ada di registry lain, perubahan publisher/kunci penandatanganan, dan kapabilitas berbahaya baru (child_process, penulisan ke ~/.ssh, LaunchAgents).
Rilis notifikasi Slack/webhook serta dashboard tempat tim mendaftarkan ekstensi yang dipakai organisasi mereka.
Diskusi asli: Backdoor in Claude Code for VS Code extension on the Cursor Marketplace ↗ 579 poin401 komentarDari komentarArtikel tertaut

Diterjemahkan dari bahasa Inggris. Baca versi asli

Pro

Kontra

Mulai

Lainnya dari edisi ini