“Um mercado de extensão é efetivamente outra cadeia de fornecimento de software”, disse Kadakia. “Quando o código malicioso pode chegar aos desenvolvedores através do que parece ser uma atualização legítima e rotineira, a suposição tradicional de que o software de um mercado confiável é seguro começa a desmoronar.”
Ele recomendou uma verificação mais forte do editor, verificações da integridade dos pacotes e controles sobre quais extensões e versões os desenvolvedores podem instalar.
Kadakia também pediu lista de permissões de extensões, atualizações controladas, monitoramento de endpoints e restrições em conexões de saída. Ele disse que credenciais de curta duração, ambientes de desenvolvimento segregados e acesso limitado a infraestruturas confidenciais poderiam reduzir o impacto de uma máquina de desenvolvedor comprometida. A Cursor disse que removeu as versões maliciosas, fechou temporariamente seu mercado, auditou o acesso, alternou chaves e reconstruiu o mercado antes de restaurar o serviço.
