面對日益增加的供應鏈攻擊，開發工具的安全性變得至關重要。在最新的 VS Code 1.123 版本中，微軟引入了一項新的安全機制：為自動更新的擴充功能設定兩小時的延遲時間。這項變動看似微小，但其背後反映了現代軟體開發中對於供應鏈安全（Supply Chain Security）的防禦思維轉變。
什麼是供應鏈攻擊及其風險
在軟體工程中，供應鏈攻擊是指攻擊者不直接攻擊目標系統，而是透過滲透該系統所依賴的第三方套件、函式庫或擴充功能來植入惡意程式碼。對於 VS Code 使用者而言，最典型的場景是：某個熱門擴充功能的維護者帳號被盜，攻擊者上傳了一個包含後門或竊密程式的更新版本。由於大多數開發者開啟了自動更新，惡意程式碼會在極短時間內被推送到全球數百萬台開發機上，導致機密金鑰或原始碼外洩。
VS Code 的緩衝機制如何運作
為了降低這種風險，VS Code 1.123 版本將自動更新的觸發時間推遲了兩小時。當新版本的擴充功能發布後，系統不會立即下載，而是進入一個緩衝期。
這個緩衝期的核心目的在於創造一個反應視窗。如果發布的版本被發現含有惡意程式碼，維護者或平台管理員可以在大規模分發之前將該版本撤回。對於急需新功能的開發者，依然可以透過手動點擊更新來跳過這個等待時間。
值得注意的是，這項限制並不適用於微軟、GitHub 或 OpenAI 等被定義為信任發布者（Trusted Publishers）的帳號，這些來源的更新依然會立即執行。
業界的趨勢與爭議
這種延遲更新（Cooldown）的概念並非 VS Code 首創，許多主流的套件管理工具早已採取類似做法。例如 Python 的 pip、RubyGems 以及 Node.js 生態系的 npm、pnpm 和 Yarn，都已提供可配置的最低發布年齡（Minimum Release Age）設定，允許團隊拒絕安裝發布時間不足數日的新版本。研究顯示，若能將更新延遲七天，可攔截約八成的供應鏈攻擊。
然而，VS Code 設定的兩小時緩衝期在社群中引起了激烈的討論，主要爭議點在於時間長度。許多資深安全工程師認為兩小時遠遠不足以發現複雜的攻擊，因為許多惡意套件在發布數日甚至數週後才被揭發。
此外，安全專家指出，雖然自動化掃描器（Security Scanners）能快速偵測可疑代碼，但從偵測到人工確認、最後決定下架版本，通常需要比兩小時更長的處理時間。
更進一步的防禦方案
除了簡單的時間延遲，社群中提出了更徹底的解決方案：
第一是沙箱化（Sandboxing）。模仿行動作業系統（如 iOS 或 Android）的權限管理，讓擴充功能在受限環境中執行，必須明確申請權限才能訪問檔案系統或網路。
第二是分階段推送（Staged Rollouts）。先讓 5% 的使用者更新，觀察是否有異常，再逐步擴大至 10%、50% 直至全量推送。這樣即使發生攻擊，受影響的範圍也能被控制在最小規模。
實務上的建議
對於一般開發者，這項功能是預設開啟的，無需額外設定。但對於對安全性要求極高的企業團隊，僅靠兩小時的延遲是不夠的。建議採取以下實務做法：
關閉自動更新，改由團隊內部統一審核版本後再推送。 建立內部私有倉庫（Internal Registry），僅允許經過安全掃描的特定版本進入。 在 CI/CD 流程中導入依賴項掃描工具，確保所有第三方套件符合安全基準。
總結來說，VS Code 的這項更新雖然保守，但它向開發者傳達了一個重要訊號：追求最新版本（Latest Version）的習慣在安全維度上是有風險的，適度的延遲反而是保障開發環境穩定的必要手段。
來源：infoq.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。