ai-ide-config-guard

Escanea un repositorio en busca de archivos de configuración de AI-IDE que puedan desencadenar RCE mediante hooks de Claude Code, reglas de Cursor, auto-registro de MCP. Detecta CVE-2025-59536, CVE-2026-21852, CVE-2026-30615 + patrones de Pillar Rules File Backdoor.

Ejecútalo en cada repositorio de terceros que clones antes de abrirlo en un editor potenciado por IA.

Instalación

Sin instalación — usa npx:

O instala globalmente:

Requiere Node 20+.

Uso

Con un umbral de fallo (para CI):

Salida JSON:

SARIF 2.1.0 (para el escaneo de código de GitHub):

Ejecutar un subconjunto de comprobaciones:

Lista completa de opciones: npx valtik-ai-ide-config-guard --help.

Comprobaciones

G1 — Hook de Claude Code ejecuta shell

Busca .claude/settings.json y analiza hooks.SessionStart / hooks.PostToolUse / hooks.PreToolUse / hooks.UserPromptSubmit (y eventos del ciclo de vida relacionados). Si alguna entrada establece una cadena command (o type: "command" dentro de la gramática agrupada), el hallazgo es CRÍTICO: abrir el repositorio en Claude Code ejecuta el comando bajo el shell del desarrollador con su entorno, claves SSH y tokens.

G2 — Contrabando Unicode en archivos de reglas

Escanea .cursorrules, .cursor/rules/*.md[c], .windsurfrules, .windsurf/rules/*.md[c], .github/copilot-instructions.md, .continue/*.md en busca de:

• Caracteres de anulación / incrustación / aislamiento bidireccional (U+202A–U+202E, U+2066–U+2069)
• Caracteres de ancho cero (U+200B, U+200C, U+200D, U+2060, U+FEFF, U+180E, U+00AD)
• Bloque de etiquetas Unicode (U+E0000–U+E007F) — el espacio de contrabando de tokens invisible para humanos
• Homoglifos cirílicos (а/е/о/р/с/х/у/…) mezclados dentro de palabras que de otro modo serían ASCII
• Patrones imperativos de anulación de rol (ignore previous, from now on, system:, etc.)

Se ignoran texto puramente cirílico, emojis y BOM al inicio del archivo; solo marcamos lo que oculta contenido a un revisor humano.

G3 — Auto-registro MCP

Analiza mcp.json, .mcp.json, .claude/mcp.json, .cursor/mcp.json, .windsurf/mcp.json, .vscode/mcp.json, .continue/config.json. Para cada servidor registrado:

• command coincide con src/fixtures/known-malicious-mcp.json → CRÍTICO
• command es un binario local → ALTO
• command es npx / uvx / pipx extrayendo un paquete no verificado → MEDIO
• url no es https → MEDIO
• url apunta a localhost / LAN → MEDIO

G4 — Ejecución automática de tareas de VS Code

Marca cualquier tarea con runOptions.runOn: "folderOpen". La gravedad aumenta si el comando usa interpolación de shell (curl | sh, wget | bash, eval, base64 -d, backticks, $(...)) o referencia una URL externa.

G5 — Redirección de URL base de API

Escanea .env*, .claude/settings.json, .cursor/config.json, .vscode/settings.json y cualquier mcp.json en busca de:

• ANTHROPIC_BASE_URL, ANTHROPIC_API_URL
• OPENAI_BASE_URL, OPENAI_API_BASE, OPENAI_API_URL

Si el host no es el endpoint canónico del proveedor (api.anthropic.com / api.openai.com), el hallazgo es CRÍTICO — cada solicitud y clave API va al endpoint del atacante. Los hosts que no son en la nube (localhost, IPs de LAN) se marcan como ALTO.

G6 — Confianza del espacio de trabajo

Marca .vscode/settings.json que incluya security.workspace.trust.enabled: false (o el análogo de Cursor), lo que opta silenciosamente por no usar la puerta de enlace nativa que bloquea el comportamiento de ejecución automática.

G7 — Shell incrustado en markdown de reglas

En archivos .md / .mdc de reglas, escanea bloques de código delimitados que contengan curl | sh, wget | bash, rm -rf, eval, base64 -d, python -c, /dev/tcp, mkfifo de shell inverso, chmod +x. La gravedad aumenta cuando la prosa circundante es imperativa ("run this", "execute the following command").

G8 — Scripts de agente en package.json

Indicador informativo para scripts nombrados claude*, cursor*, windsurf*, mcp*, continue*, copilot*, aider*, cline*. ALTO si el mismo nombre colisiona con un hook del ciclo de vida de npm (preinstall, postinstall, etc.) — los hooks del ciclo de vida se ejecutan en npm install sin confirmación del usuario.

Integración en CI

GitHub Actions:

O carga SARIF:

Limitaciones

• Estático, basado en firmas y conservador. Los payloads ofuscados o vectores novedosos se pasarán por alto. Cero falsos positivos en test/fixtures/safe/ es un objetivo de diseño: preferimos omitir un caso límite antes que enseñar a los usuarios a ignorarnos.
• No ejecuta ni resuelve nada (sin ejecuciones en seco de npx, sin recuperación de URL).
• La lectura de archivos está limitada a 2 MB por archivo para evitar DoS.

Referencias

• CVE-2025-59536 (Claude Code hooks)
• CVE-2026-21852 (Claude Code PostToolUse hooks)
• CVE-2026-30615 (Windsurf config-write RCE)
• Pillar Security — "Rules File Backdoor" (2026)
• Valtik Studios — AI-IDE Security 2026 (próximamente)

Aviso legal

Esta herramienta es análisis estático. Un informe limpio significa "las 8 comprobaciones incluidas en esta versión no se activaron", no "este repositorio es seguro para abrir en un AI-IDE". Trata cada repositorio que no hayas creado como hostil y aplica confianza del espacio de trabajo, revisión de hooks y revisión de MCP manualmente.

Licencia MIT — Copyright (c) 2026 Valtik Studios LLC.