採用

VS Codeでリポジトリを開くと勝手に実行される？tasks.jsonとワークスペースの信頼

採用の課題を装って悪意のあるリポジトリを開かせ、VS Code の tasks.json に仕込んだ自動タスクで攻撃コードを動かす手口を、Jamf・Microsoft の報告と VS Code の公式ドキュメントで整理しました。いまの VS Code が既定で止めてくれること（制限モードと自動タスクの確認）、npm のインストール時のスクリプトなどタスク以外の入口、知らないリポジトリを開く前の確認手順、設定の見直し、実行してしまったときの対応までまとめています。