13 октября 2026 г.
Plutonium проверяет расширение до установки: бесплатный сканер и база из 4500 компонентов
Подделка в маркетплейсе расширений Cursor собрала 428 тыс. загрузок за 19 часов, а после удаления расширения вредонос остался в системе.
24 сентября в маркетплейс расширений для Cursor появилась подделка под Solidity. Она забирала приватные ключи кошельков.
Счётчик врёт. Расширение alejandroaranda.solidity-languini и копии juanblanco.solidity показывали около 428 тыс. загрузок, накрученных ботами (Pluto Research, 24–26.09.2026). Код весил 37,6 МБ и лежал внутри 205-мегабайтного видеофайла. Запускался он при старте редактора, до первого клика пользователя.
Не хотите разбираться сами? Внедряем ИИ в ваш бизнес: задачи без лимита, одна цена в месяц, отмена в любой момент.
Каждая волна прожила примерно 19 часов и возвращалась в маркетплейс в течение суток после удаления.
Чистить руками. Удаление расширения вредонос не убирает. На Windows Pluto велит искать службу «ScreenConnect Client (5cbe79c9c25524df)» и одноимённую папку в Program Files (x86). Нашлась — машину переустанавливают.
На macOS и Linux проверяют ~/.solidity/, файл com.solidity.langsupport.runner.plist в ~/Library/LaunchAgents и юнит solidity-langsupport-runner в ~/.config/systemd/user. В обоих случаях машину отключают от сети и меняют ключи кошельков, деплой-ключи, SSH и облачные токены.
Проверить до установки. Сканер Plutonium открыт бесплатно и без регистрации: в него отдают MCP-сервер, skill, плагин или коннектор и смотрят разметку по пяти типам риска, от выполнения команд до передачи данных третьим лицам. В базе на 13.10.2026 больше 4500 расширений, коннекторов и MCP-серверов, рядом лежат гайды по безопасной настройке.
Раньше безопасность расширения оценивали по счётчику загрузок и рейтингу. В апреле Pluto насчитала 179 открытых в интернете MCP-серверов, из них 147 принимали запросы без аутентификации, и 1184 вредоносных skill в реестре ClawHub. Вывод компании: счётчики и звёзды накручивают боты.
Деньги под это дали 13 октября: $42 млн двумя раундами, сид $8,5 млн во главе с TLV Partners и раунд A $34 млн во главе с Jump Capital. Продавать Pluto начала в апреле 2026 и за полгода вышла на $2 млн годовой повторяющейся выручки при более 30 корпоративных клиентах, среди них Oscar Health, Workato и Sixt.
60% найденных рисков приходится не на разработчиков, а на инструменты, собранные сотрудниками финансов, маркетинга и юротдела.
По замеру Pluto новый ИИ-инструмент оказывается внутри корпоративного контура через два часа после релиза.
Первоисточник