网络安全研究人员披露了一起针对 Open VSX Registry 的供应链攻击详情。在此次攻击中，不明身份的黑客入侵了一位合法开发者的账户资源，借此向下游使用者传播恶意更新。 Socket 安全研究员 Kirill Boychenko 在周六发布的报告中表示：“2026 年 1 月 30 日，开发者 oorzc 发布的四款成熟 Open VSX 扩展被推送恶意版本至仓库，版本中嵌入了 GlassWorm 恶意软件加载器。” “这些扩展此前一直以合法开发者工具的面目出现（部分最早发布于两年多前），在恶意版本发布前，其累计下载量已超过 22,000 次。”...

HackerNews 编译，转载请注明出处： 黑客正在利用一个危险的漏洞针对“氛围开发者”（vibe coders）。Cursor、Windsurf 和其他 AI 驱动的代码编辑器无法访问 VS Code Marketplace（Visual Studio 市场），转而依赖风险更高的第三方平台，这些平台上恶意扩展和关键漏洞盛行。 安全公司 Secure Annex 的研究员 John Tuckner 发现了一个已被开发者下载 20 万次的恶意扩展。该扩展针对 Solidity 开发者，他们使用这种编程语言在以太坊和其他区块链上实现智能合约。...