✓ Sobreviveu 1º de 8 propostasIndie Segurança 30 de out. de 2026

Monitoramento de integridade entre registros para extensões de IDE

Captura snapshots das releases de extensões do VS Code, Cursor e Open VSX, compara-as entre registros e alerta equipes de segurança quando uma build adulterada ou divergente é publicada.

Abrir a discussão ↗

Um briefing pronto para colar no Claude Code, Cursor ou qualquer agente de programação (em inglês).

I want to build a small, bootstrappable product. Help me plan and start the MVP.

Product: Cross-registry integrity monitoring for IDE extensions
What it is: Snapshots VS Code/Cursor/Open VSX extension releases, diffs them across registries, and alerts security teams when a tampered or divergent build ships.
Who pays: Security engineering or platform leads at companies with 100+ developers using VS Code forks (Cursor, Windsurf); $500–2,000/mo from the software supply-chain security budget.
Closest alternatives: Socket, Snyk, Endor Labs, StepSecurity
The gap: Existing supply-chain tools watch package registries (npm, PyPI) and CI pipelines; nobody continuously monitors IDE extension marketplaces for tampered releases, publisher changes, or builds that diverge across registries.
Why now: Cursor and other VS Code forks now run their own extension marketplaces with separate, weaker publishing pipelines, and AI extension adoption exploded in the last year — this incident proves the attack path works.
Moat to build toward: Versioned historical snapshot database of extension bundles plus a growing dataset of benign-vs-malicious release diffs; switching costs from alert/MDM integrations.
Biggest risk: Marketplaces (Microsoft, Cursor, Open VSX) add mandatory signing and native anomaly detection, collapsing the gap before the customer base is built.

First three steps:
1. Build crawlers that snapshot the top ~500 extensions across the VS Code Marketplace, Open VSX, and Cursor marketplace, storing versioned bundle hashes and publisher metadata.
2. Build a diff engine flagging versions missing from other registries, publisher/signing-key changes, and new dangerous capabilities (child_process, writes to ~/.ssh, LaunchAgents).
3. Ship Slack/webhook alerting plus a dashboard where teams register the extensions their org uses.

Start by asking me up to five questions about constraints (stack, budget, timeline), then propose the smallest version a paying customer would use, and scaffold it.

Geral6.8/10

Dor7

Disposição a pagar6

Momento8

Lacuna7

Fosso5

Viabilidade8

A favor

Quem paga

Líderes de engenharia de segurança ou de plataforma em empresas com 100+ desenvolvedores que usam forks do VS Code (Cursor, Windsurf); US$ 500 a US$ 2.000/mês, com orçamento vindo da segurança da cadeia de suprimentos de software.

O que as pessoas disseram · 5

Uma extensão do Claude Code com backdoor ficou ativa no Cursor Marketplace por cerca de 11 horas antes de ser removida, com acesso total ao código-fonte e às ferramentas de desenvolvimento. Do artigo ↗
A versão comprometida apareceu no Open VSX e no Cursor, mas aparentemente nunca no registro oficial da Microsoft, o que revela uma divergência perigosa entre registros. Ler o comentário ↗
Desenvolvedores percebem que ferramentas de codificação com IA executam código remoto não verificado todos os dias, e ninguém confere o que essas CLIs e extensões realmente fazem. Ler o comentário ↗
Os atrasos de atualização automática não se aplicam a 'publicadores confiáveis', e os usuários não conseguem configurar quais publicadores confiar, então atualizações maliciosas podem se propagar instantaneamente. Ler o comentário ↗
Espera-se que agentes estatais mirem cada vez mais ferramentas de desenvolvimento e open source, o que exige tratar todo artefato recebido como hostil. Ler o comentário ↗

Parafraseado da discussão. Siga os links para ler os comentários originais.

Concorrentes e lacuna

SocketSnykEndor LabsStepSecurity

As ferramentas existentes de supply chain monitoram registros de pacotes (npm, PyPI) e pipelines de CI; ninguém monitora continuamente os marketplaces de extensões de IDE em busca de releases adulteradas, mudanças de publicador ou builds que divergem entre registros.

Por que agora

O Cursor e outros forks do VS Code agora mantêm marketplaces próprios de extensões, com pipelines de publicação separados e mais fracos, e a adoção de extensões de IA cresceu muito no último ano. Este incidente comprova que o caminho de ataque funciona.

Fosso · 5/10

Banco de dados versionado com snapshots históricos dos bundles de extensões, somado a um conjunto crescente de diffs entre releases benignas e maliciosas; custo de troca alto por causa das integrações com alertas e MDM.

Contra

Time vermelho: Um backdoor ativo por 11 horas no marketplace do Cursor prova que o caminho de ataque existe e que há orçamento para segurança de supply chain. Socket e Snyk cobrem npm e PyPI, mas não os registros de extensões de IDE nem a detecção de divergência entre registros.
O que a faria fracassar: Os marketplaces (Microsoft, Cursor, Open VSX) adotam assinatura obrigatória e detecção nativa de anomalias, fechando a lacuna antes que a base de clientes seja formada.

Começar

Primeiros três passos: Criar crawlers que capturam snapshots das ~500 extensões mais populares no VS Code Marketplace, Open VSX e marketplace do Cursor, armazenando hashes versionados dos bundles e metadados dos publicadores.
Construir um motor de diff que sinalize versões ausentes em outros registros, mudanças em publicadores ou chaves de assinatura e novas capacidades perigosas (child_process, escrita em ~/.ssh, LaunchAgents).
Entregar alertas via Slack/webhook e um dashboard onde as equipes cadastram as extensões usadas pela organização.
Discussão original: Backdoor in Claude Code for VS Code extension on the Cursor Marketplace ↗ 579 pontos401 comentáriosDos comentáriosArtigo vinculado

Traduzido do inglês. Ler o original

A favor

Contra

Começar

Mais desta edição