« Un marché d’extension est en fait une autre chaîne d’approvisionnement en logiciels », a déclaré Kadakia. «Lorsqu’un code malveillant peut atteindre les développeurs via ce qui semble être une mise à jour légitime et de routine, l’hypothèse traditionnelle selon laquelle les logiciels provenant d’un marché de confiance sont sûrs commence à s’effondrer.»
Il a recommandé une vérification plus stricte de l’éditeur, des contrôles sur l’intégrité des packages et des contrôles sur les extensions et les versions que les développeurs peuvent installer.
Kadakia a également appelé à la mise sur liste blanche des extensions, aux mises à jour contrôlées, à la surveillance des points finaux et aux restrictions sur les connexions sortantes. Il a déclaré que des informations d’identification de courte durée, des environnements de développement séparés et un accès limité aux infrastructures sensibles pourraient réduire l’impact d’une machine de développement compromise. Cursor a déclaré avoir supprimé les versions malveillantes, fermé temporairement sa place de marché, audité les accès, effectué une rotation des clés et reconstruit la place de marché avant de restaurer le service.
