VS Code 拡張機能を最小化し、自動更新を止める

エディタ拡張は開発者権限で動くサプライチェーンの入口。使っていない拡張を消し、自動更新を止め、組織では許可リスト配布にする。

GitHub 社への侵害は社員デバイス内の VS Code 拡張経由で起き、内部約 3,800 リポジトリが流出した可能性があると報じられた。Nx Console 拡張の侵害でも同様の被害。

棚卸し: code --list-extensions --show-versions で一覧化し、使っていないものを code --uninstall-extension <id> で削除。
自動更新を止める（settings.json）:
json
```
{ "extensions.autoUpdate": false, "extensions.autoCheckUpdates": false }
```
更新は変更内容を見てから手動で。
組織では MDM で許可リスト配布（extensions.allowed ポリシー等）。@about_hiroppy も「MDM で管理し Homebrew から全部制限をかけたほうが会社的には安全」と指摘。
侵害報道が出たら、該当拡張を入れていた端末のシークレットをローテーション。