公式配布物が一番こわい
読んでまず思ったのは、こういう事故は「怪しい野良プラグイン」よりずっと嫌だ、ということです。公式アカウントから出た extension なら、普通は少しは信用してしまう。しかも Cursor の marketplace 経由で、しかも自動更新で入ってしまうなら、使う側が気をつける余地はかなり小さいです。安全確認の習慣だけでは追いつかないなと感じました。 気になったのは、被害の大きさそのものよりも、侵入の入り口が“配布元のアカウント”だった点です。ここが破られると、利用者は「この拡張機能を入れるかどうか」ではなく、「信じていた供給経路そのものをどう守るか」を考えないといけない。開発環境の extension は本体アプリと同じ権限で動くことが多いので、ひとたび悪性コードが紛れ込むと、ソースコードやローカルファイルに触れられる。記事を読んでいて、これは単なるプラグイン事故というより supply-chain の問題なんだと改めて思いました。 あと、記事の中で少し引っかかったのは、誰がどうやってアカウントを奪ったのかがまだ説明されていないことです。そこが曖昧なままだと、利用者としては「固定版
papoo.work