VS Code, o Visual Studio Code, è un editor di codice ampiamente utilizzato che supporta estensioni per il supporto ai linguaggi, il debug e l'automazione dei flussi di lavoro. Queste estensioni vengono eseguite all'interno dell'host delle estensioni dell'editor, il che significa che VS Code è più di un editor di testo: è un ambiente di esecuzione controllato sul computer di uno sviluppatore.
Questo è importante nella sicurezza informatica perché l'ecosistema delle estensioni può diventare un rischio per la supply chain. Un add-on malevolo o compromesso può leggere il codice sorgente, rubare token, chiavi API, sessioni del browser o altri segreti locali, e poi esfiltrarli tramite il normale traffico di rete. Negli attacchi reali, gli avversari abusano di marketplace fidati, nomi di publisher simili e codice offuscato per far sembrare legittime estensioni dannose. I difensori riducono questo rischio con allowlist aziendali, marketplace privati, Workspace Trust, revisione dei publisher e controlli di scansione dei segreti.