През май 2026 г. светът на киберсигурността стана свидетел на изключително сложна атака по веригата за доставки, организирана от киберпрестъпната група TeamPCP. Чрез компрометиране на акаунт на служител на GitHub, атакуващите публикуваха компрометирана версия на популярно разширение за VS Code (Nx Console v18.95.0) в Visual Studio Marketplace и OpenVSX.

След изтеглянето му, злонамереното разширение не се свърза с очевиден, наскоро регистриран сървър за командване и управление (C2). Вместо това то извърши атака тип Living off the Land, стартирайки npx команда за извличане на вторичен злонамерен код в легитимно хранилище на GitHub. След това изпълни паралелни механизми за събиране на идентификационни данни, насочени към всичко – от метаданни на AWS и Vault токени до SSH ключове и идентификационни данни за Kubernetes. Компрометираният достъп от една-единствена работна станция на разработчик в крайна сметка доведе до източване на приблизително 3800 вътрешни хранилища.

Този инцидент разкрива крещяща уязвимост в съвременните корпоративни среди: веригата за доставки при разработчиците е новият път на най-малкото съпротивление.

Защо традиционната сигурност е неуспешна при работния процес на кодиране

Лидерите в областта на сигурността инвестират сериозно в защитата на потребителските устройства, но често се оказват принудени да заобикалят същите тези системи за своите инженерни екипи.

Основната причина е оперативната трудност. Конвенционалните решения за сигурност са фундаментално несъвместими със стандартните работни процеси за кодиране. Мрежовите защити често прекъсват необходимите локални тестови връзки, скенерите за уязвимости задействат безкрайни фалшиви тревоги за безопасни зависимости на приложенията, а строгите политики за управление на устройства спират продуктивността, като забавят одобренията на инструменти.

За да продължат да доставят продуктови актуализации, организациите рутинно предоставят широкообхватни изключения от правилата за сигурност на своя технически персонал по време на първоначалното им въвеждане в работата. Киберпрестъпниците са напълно наясно с тази динамика и агресивно се насочват към тези незащитени работни станции чрез пакети с отворен код и плъгини.

Преминаване към Агентна сигурност на крайните точки (AES)

Ето защо лидерите в индустрията преминават към инструменти за Агентна сигурност на крайните точки (Agentic Endpoint Security - AES). Чрез установяване на активна, локална контролна точка в момента на приемане на код и инструменти, организациите най-накрая могат да затворят празнината в видимостта, която съвременният изкуствен интелект вече започва да експлоатира.

Традиционното откриване и реагиране на крайни точки (EDR) вече не е достатъчно. Стандартният EDR е фундаментално сляп за нюансите на работните процеси на разработчиците, локалните компилатори и екосистемите от разширения за среди за разработка (IDE).

Ето практическо описание на това как тази модерна архитектура за сигурност действа като специализирана система за защита срещу заплахи за веригата за доставки, насочени към разработчиците, без да нарушава скоростта на инженерната работа.

Непрекъснат мониторинг на екосистемите от разширения за IDE

Основен вектор в съвременните атаки по веригата за доставки е екосистемата от IDE плъгини и разширения. Разработчиците разчитат на стотици плъгини от трети страни за продуктивност, форматиране на код и помощ от изкуствен интелект. Екипите по сигурността обаче рядко имат видимост върху това какви разширения са активни на локална машина, да не говорим дали дадено разширение е било незабележимо модифицирано или компрометирано в публичен каталог.

Модерните платформи за сигурност на крайните точки се борят с това, като въвеждат вградени възможности, създадени за естествено проследяване и оценка на състоянието на сигурността на IDE разширенията (като плъгини за VS Code и JetBrains) в цялото предприятие. Чрез изграждане на централизиран опис на активните плъгини и непрекъснатото им анализиране за поведенчески рискове или аномално мрежово поведение, системата може да маркира злонамерена логика, преди активен злонамерен код да успее да събере идентификационни данни от локални файлове.

Изображение 1: Оценка на състоянието на сигурността на IDE разширенията

Налагане на периоди на изчакване за разширения и инструменти

В света на ИТ стандартният протокол за сигурност е незабавното отстраняване на уязвимости. Но във веригата от инструменти на разработчика, автоматичното обновяване на разширения и зависимости крие сериозен риск. Както доказа атаката на TeamPCP, злонамерената актуализация на Nx Console беше активна и силно разрушителна в рамките на първите си 36 часа.

За да нарушат този график, екипите по сигурността се отказват от незабавните автоматични актуализации за инструменти за разработка, като вместо това избират да наложат структурирани периоди на изчакване или изчакващи периоди за нови версии на софтуера и разширенията.