警惕VSCode扩展配置漏洞：恶意代码可能逃逸沙箱攻陷主机

著名安全团队Trail of Bits深入分析了VSCode扩展的安全机制，揭示了由于配置错误可能导致的严重“逃逸”漏洞。文章指出，许多扩展（特别是涉及远程开发和SSH连接的）未能正确隔离执行环境。当开发者使用这些配置不当的扩展连接恶意服务器或处理不可信代码时，攻击者可突破VSCode的沙箱限制，在开发者的本地主机上执行任意命令。这一发现强调了开发工具供应链中的脆弱性，提醒开发者需严格审查扩展权限，防范“开发即攻击”的新型风险。