VS Codeでリポジトリを開くと勝手に実行される？tasks.jsonとワークスペースの信頼

「面接の課題です。このリポジトリを clone して動かしてください」というメッセージから始まる攻撃が、開発者を狙って繰り返されています。@IT は2026年10月27日に、GitHub や GitLab で送られてくる悪意のあるリポジトリの見分け方を取り上げました。元になったのは Jamf Threat Labs の2026年1月の報告で、Microsoft も2026年3月に同じ手口を詳しく注意喚起しています。採用担当者を名乗る攻撃は、Palo Alto Networks の Unit 42 が2023年に「Contagious Interview」と名付けて報告したもので、北朝鮮の攻撃者によるものとされています。

この記事では、VS Code の公式ドキュメントとリリースノート、Jamf・Microsoft の報告、npm の公式ドキュメント（いずれも2026年10月28日に確認。VS Code の最新の安定版は 1.143.1）をもとに、なぜ開いただけで動くのか、いまの VS Code はどこまで止めてくれるのか、知らないリポジトリをどう扱えばよいかを整理します。

手口：課題のリポジトリに仕込まれた tasks.json

Jamf の報告と Microsoft の注意喚起によると、流れは次のとおりです。

鍵になっているのが、VS Code のタスクの設定ファイル .vscode/tasks.json です。タスクはビルドやテストのコマンドを登録しておく仕組みで、runOptions.runOn に folderOpen を指定すると、そのフォルダーを開いたときに自動で実行されます。本来は、開いたらすぐ開発用のサーバーやウォッチを立ち上げる、といった便利な使い方のための機能です。

{
  "version": "2.0.0",
  "tasks": [
    {
      "label": "dev server",
      "type": "shell",
      "command": "npm run dev",
      "runOptions": { "runOn": "folderOpen" }
    }
  ]
}

いまの VS Code は何を止めてくれるか

VS Code には、知らないコードが勝手に動かないようにする「ワークスペースの信頼（Workspace Trust）」という仕組みが 1.57 から入っています。2026年に入ってから既定の設定が2回厳しくなり、自動で動くタスクは2つの関門を通らないと実行されなくなりました。

ドキュメントは、制限モードについて、AI のエージェント、ターミナル、タスク、デバッグ、ワークスペースの設定、拡張機能の動きを止めたり制限したりすると説明しています。タスクについては「信頼していないワークスペースでは、設定にかかわらず自動タスクは動かない」と明記されています。

タスク以外にもコードが動く入口がある

tasks.json だけ確かめれば安全、というわけではありません。リポジトリの中身によって、次のような入口があります。どれも「信頼した」「インストールした」「実行した」のどこかで動き始めます。

Jamf は2026年9月の報告で、同じ攻撃者がその後、プロジェクトを開いた時点ではなく、最初のコミットやブランチの切り替えのときに動くスクリプトへ仕掛けを移した例を伝えています。入口は1つに決め打ちせず、知らないリポジトリでは何も実行しないことを前提にします。

知らないリポジトリを開く前の確認手順

採用の課題に限らず、勉強会のサンプルや Issue に貼られた再現用のリポジトリなど、出どころをよく知らないコードを触るときの手順です。

ターミナルで中身を確かめるときは、次のようにします（例は macOS・Linux。Windows は PowerShell の Get-Content などに読み替えます）。どれもファイルを読むだけで、リポジトリのコードは実行しません。

# 自動で動くタスクが無いか
grep -n "folderOpen" .vscode/tasks.json

# .vscode の中に何があるか
ls -la .vscode

# npm のスクリプトの一覧（package.json を読むだけ）
npm pkg get scripts

# 依存を入れるなら、インストール時のスクリプトを止める
npm install --ignore-scripts

設定で守りを固める

既定の設定のままで2つの関門は効いています。普段の設定で、それを弱めていないかを確かめておきます。

{
  "security.workspace.trust.enabled": true,
  "task.allowAutomaticTasks": "off",
  "security.workspace.trust.startupPrompt": "never"
}

開いて実行してしまったかもしれないとき

信頼して自動タスクを許可した、あるいは課題のスクリプトを実行してしまった後で不審に思った場合は、その端末で作業を続けず、次の順に対応します。

個人の端末で相談先に迷う場合は、IPA の情報セキュリティ安心相談窓口が相談を受け付けています。

よくある質問

リポジトリを clone しただけで感染しますか？

VS Code の自動タスクについては、clone しただけでは動きません。フォルダーを開いて信頼し、いまの既定では自動タスクも許可して、はじめて実行されます。ただし、npm のインストール時のスクリプトや、Git の操作をきっかけに動く仕掛けなど、ほかの入口もあるので、知らないリポジトリでは何も実行しないのが基本です。

制限モードで開けば、ファイルを読んでも大丈夫ですか？

制限モードでは、タスク・デバッグ・ターミナル・実行ファイルのパスを含むワークスペースの設定・信頼に対応していない拡張機能などが止まるので、ファイルを読むだけなら安全側に倒れています。ただし、ドキュメントは悪意のある拡張機能までは防げないとしています。普段から、出どころの分からない拡張機能を入れないことも大切です。

VS Code 以外のエディターなら安全ですか？

エディターを変えても、npm のインストール時のスクリプトのように、エディターと関係なく動く入口は残ります。また、Cursor など VS Code をもとにしたエディターが、同じ信頼の仕組みと同じ既定値を持つとは限りません。使っているエディターの設定を確かめてください。

本物の採用課題かどうか、どう見分ければよいですか？

連絡してきた担当者と課題が、会社の公式サイトや公式の採用ページから確かめられるかを見ます。個人のアカウントからだけ連絡がある、急いで実行させようとする、課題が「まず動かしてください」から始まる、といった点は注意のサインです。本物の課題でも、隔離した環境で動かしてかまいません。

まとめ

• 採用試験を装って悪意のあるリポジトリを開かせ、.vscode/tasks.json の自動タスクで攻撃コードを動かす手口が続いている
• いまの VS Code は、知らないフォルダーを制限モードで開き（1.126〜）、自動タスクも既定で止めて確認を出す（1.109〜）。信頼して許可するまでタスクは動かない
• 古い VS Code、task.allowAutomaticTasks を on にした設定、親フォルダーごとの信頼は、この守りを弱める
• npm のインストール時のスクリプトや開発コンテナなど、タスク以外の入口もある。知らないリポジトリは信頼せずに中身を読み、動かすなら隔離した環境で --ignore-scripts を付ける
• 実行してしまったかもしれないときは、ネットワークから切り離し、担当者に報告し、別の端末から認証情報を変える

拡張機能が入口になった例として、Cursor のマーケットプレイスで配られた Claude Code 拡張の改ざん版（2026年10月29日）はCursor で配られた Claude Code 拡張の改ざん版とは？で扱っています。

参考リンク

• VS Code使いは要注意 GitHub経由で送られる「悪意あるリポジトリ」を見分けるポイント（@IT、2026年10月27日）
• Threat Actors Expand Abuse of Microsoft Visual Studio Code（Jamf Threat Labs、2026年1月20日）
• Contagious Interview の続報（Jamf Threat Labs、2026年9月3日）
• Contagious Interview: Malware delivered through fake developer job interviews（Microsoft Security Blog、2026年3月11日）
• Hacking Employers and Seeking Employment（Palo Alto Networks Unit 42、2023年11月21日）
• Workspace Trust（VS Code ドキュメント）
• Tasks（VS Code ドキュメント）
• VS Code 1.109 リリースノート・1.126 リリースノート
• npm scripts（npm Docs）・ignore-scripts（npm Docs）