2026 年 5 月，GitHub 确认约 3,800 个内部仓库因员工安装恶意 VS Code 扩展而泄露，攻击者 TeamPCP 通过木马化扩展获取了内部代码访问权限。这一事件暴露出 VS Code 扩展生态中长期存在的安全盲区：扩展在安装时声明的权限与其实际运行时的 API 调用行为之间可能存在显著差异，而传统的安全审查往往只关注静态 manifest，忽视了运行时的动态风险评估。
VS Code 扩展采用基于 Electron 的架构设计，扩展一旦激活即运行在与编辑器主进程相同的权限上下文中，可执行文件读写、网络请求、子进程启动等敏感操作。这种 "全有或全无" 的权限模型意味着，即使扩展在package.json中仅声明了最小化的contributes配置，其代码仍可在运行时调用 VS Code Extension API 的任意功能，形成权限声明与实际能力的断层。
静态风险评估：Manifest 层面的权限声明审查
静态分析作为第一道防线，核心目标是识别扩展在 manifest 中声明的攻击面与信任 posture。Trail of Bits 开源的 vsix-audit 工具提供了系统化的检测框架，其 Package Analysis 模块针对package.json中的关键字段实施六项检查：
激活事件分析：activationEvents字段决定扩展何时被加载。通配符激活（"*"）或onStartupFinished触发模式意味着扩展在几乎所有场景下都会自动运行，显著扩大攻击窗口。生产环境中应优先选择onLanguage、onCommand等按需激活模式，将激活时机延迟到用户明确触发时。
Workspace Trust 兼容性：capabilities.untrustedWorkspaces声明指示扩展是否支持受限模式。未声明该字段的扩展在打开不受信任的工作区时仍会被激活，绕过 VS Code 的安全边界。企业安全策略应将缺失此声明的扩展标记为高风险。
贡献点审查：contributes字段定义扩展向 VS Code 注册的功能入口。主题类扩展（themes）若同时声明main入口点，存在以 UI 组件为掩护执行恶意代码的风险。静态分析应标记此类 "主题 + 代码" 的异常组合。
依赖供应链检查：通过比对依赖包名与已知恶意 npm 包列表，以及检测与流行包（如 lodash、axios）编辑距离 1-2 的拼写混淆攻击，阻断供应链投毒路径。
AST Analysis 模块进一步解析扩展代码的抽象语法树，识别eval动态执行、Function构造函数、process.binding等 Node.js 内部访问模式。这些 API 调用在 manifest 中无对应声明，但可通过静态代码分析提前发现。
动态行为审计：运行时 API 调用监控
静态分析的局限在于无法捕获运行时的实际行为。恶意扩展可在激活后通过动态导入、条件执行等技术绕过静态检测，在特定触发条件下才暴露恶意逻辑。Microsoft 在 VS Code Marketplace 中采用沙箱化清洁室 VM 对扩展进行动态行为验证，这一实践验证了运行时审计的必要性。
动态审计的核心监控维度包括：
文件系统访问：监控扩展对~/.ssh/、~/.npmrc、浏览器配置目录等敏感路径的读取操作。GitHub 泄露事件中的恶意扩展正是通过访问 SSH 密钥和 Git 凭证实现横向移动。
网络通信：追踪所有出站 HTTP/HTTPS 请求，特别关注 Discord webhook、Telegram API、区块链 RPC 节点等非常规 C2 通道。恶意扩展常利用这些服务进行数据外泄和命令控制。
进程执行：审计child_process模块的exec、spawn调用，以及.node原生插件的加载行为。加密货币挖矿程序、RAT（远程访问木马）通常通过子进程注入实现持久化。
剪贴板与凭证访问：监控对系统剪贴板的读取操作，这是加密货币地址替换攻击的典型手法；同时审计密码管理器数据库、浏览器 Cookie 存储的访问尝试。
动态审计的实施需要在隔离环境中执行扩展，通过系统调用拦截、网络流量镜像、文件访问日志等技术采集行为指纹。与静态分析的 "事前阻断" 不同，动态审计提供 "事后追溯" 能力，适用于企业内部的扩展白名单审批流程。
工程化实践：分层检测与持续监控
结合静态与动态分析的优势，可构建分层的扩展安全评估体系：
第一层：预安装静态扫描。在扩展进入企业环境前，使用 vsix-audit 等工具执行自动化扫描，设置风险阈值：Critical 级别 findings 直接阻断；High 级别需人工复审；Medium 及以下记录备案。扫描应覆盖 Marketplace、OpenVSX、Cursor 等多个注册源。
第二层：运行时行为基线。对通过静态扫描的扩展，在沙箱环境中执行典型用户场景（打开项目、编辑文件、执行命令），采集文件访问、网络连接、进程启动的行为基线。任何偏离基线的操作触发告警。
第三层：生产环境监控。在开发者工作站部署轻量级监控代理，基于 eBPF 或操作系统审计日志，实时追踪已安装扩展的系统调用。重点关注敏感文件读取、异常网络连接、子进程创建等高危操作。
第四层：威胁情报联动。订阅恶意扩展 IOC feeds，包括已知恶意扩展 ID、C2 域名、文件哈希、加密货币地址等。当企业环境中出现匹配指标时，自动触发扩展隔离和事件响应流程。
可落地参数与检查清单
静态扫描阈值配置：
- Shannon 熵值 > 5.5 bits/char 标记为潜在混淆
- 零宽字符（U+200B-200D）存在即触发 High 告警
- 双向文本覆盖（U+202A-202E）标记为 Trojan Source 攻击
- 生命周期脚本（preinstall/postinstall）包含网络下载命令视为 Critical
动态监控关键指标：
- 首次激活后 30 秒内访问
~/.ssh/或~/.gnupg/ - 向非 Marketplace 域名发起 HTTPS 请求（排除 telemetry 服务）
- 加载
.node原生模块且不在声明依赖中 - 剪贴板读取频率 > 5 次 / 分钟
企业安全策略建议：
- 禁用自动扩展更新，改为月度集中审核更新
- 强制启用 Workspace Trust，禁止不受信任工作区中的扩展激活
- 建立内部扩展白名单，Marketplace 扩展需经安全团队审批
- 对开发者工作站实施网络 egress 过滤，阻断非必要的出站连接
VS Code 扩展的权限模型本质上是一种能力（Capability）而非权限（Permission）系统，扩展一旦获得激活机会即拥有完整 API 访问能力。这种设计在提供灵活性的同时，也将安全责任完全转移给了扩展开发者与使用者。GitHub 泄露事件表明，即便是拥有成熟安全体系的技术公司，也可能在开发者工具链的薄弱环节遭受重创。构建 manifest 静态分析与运行时动态审计的双层防御机制，是当前应对 VS Code 扩展供应链风险的最可行路径。
资料来源：
- BleepingComputer: GitHub confirms breach of 3,800 repos via malicious VSCode extension
- Trail of Bits: vsix-audit - Security scanner for VS Code extensions
内容声明：本文无广告投放、无付费植入。
如有事实性问题，欢迎发送勘误至 i@hotdrydog.com。