Un marketplace fidato è stato usato per mappare i developer host
Il punto non è la rimozione di 77 extension malevole. Il punto è che un marketplace reale è stato usato per far passare tool finti come normali estensioni di sviluppo e trasformare installazioni ordinarie in raccolta silenziosa di segnali su host, workspace, repo e contesti CI. In questa forma il bersaglio non è la singola listing, ma l’ambiente di sviluppo che la installa e la considera attendibile.
Open VSX ha rimosso un cluster di 77 extension pubblicate tra il 26 luglio e il 1° agosto 2026. Cinquantotto erano versioni leggere, pensate per esfiltrare hostname e pochi altri dettagli; 19 raccoglievano anche informazioni più ricche, come repository aperto, percorso del workspace e sistema CI in uso. Le extension copiavano nomi, namespace e descrizioni di tool reali, ma il codice serviva solo a inviare metadati a un dominio comune.
Per i team che usano Open VSX o marketplace compatibili con VS Code, il rischio non è la perdita immediata del codice sorgente. È la possibilità di mappare repository, workspace e infrastruttura di build a partire da molte installazioni apparentemente banali, e usare quei dati per scegliere obiettivi successivi più preziosi.