#vscode

VS Code を起動するたびに `The extension 'GitHub Pull Requests' wants you to sign in again using GitHub.` という通知が繰り返し出る——このループに悩まされているエンジニアは多い。結論から言うと、これは利用者側の設定ミスではなく GitHub 系拡張のトークン失効ハンドリングのバグ で、公式 issue でも認知されている挙動だ。本稿では症状の原理と、効果が高い順の回避策を整理する。 > ⚠️ 注記: 拡張側の修正で挙動が変わる可能性がある。下記はあくまで「再発したらその都度リセットする」対症療法。VS Code 本体・拡張ともに最新へ更新しておくのが前提。 症状: VS Code 起動のたびに GitHub への再サインインを延々と求められる 原因: 共有認証トークンが無効化された際、GitHub 系拡張がそれをうまく検知できず、古いトークンを掴み続ける（公式に確認済みのバグ挙動） 第一手: 左下アカウントから **サインアウト → `Cmd + Q` で完全

GitHubは、社員1人の端末に悪性のVS Code extensionが入ったことをきっかけに、約3,800件の内部リポジトリへの侵害を確認した。 現時点でGitHubは、影響を受けたのは社内リポジトリのみで、顧客データが外部で漏えいした証拠はないとしている。 攻撃者側はBreachedフォーラムで、約4,000件のprivate codeを持ち出したと主張し、5万ドル以上で売ろうとしていた。 後続の更新では、この事件はTanStackのnpmサプライチェーン攻撃と関連づけられ、社員がNx Console extensionの悪性版を入れたとされている。 こうした事件は、「便利な開発ツール」がそのまま攻撃入口になることをはっきり示していて、かなり嫌な現実だと思う。 BleepingComputerによると、GitHubは約3,800件の内部リポジトリが侵害されたことを認めました。きっかけは、GitHub社員の1人が悪性のVS Code extensionをインストールしたことです。 VS Code

GitHubの `github.dev` は、ブラウザ上で動く軽量版VSCode 便利な一方で、GitHubのOAuth token を使ってリポジトリへ広くアクセスできる 記事では、VSCode webview の設計上の隙を突いて、1回クリックさせるだけで token を盗める可能性が示された きっかけは、webview 内の `keydown` を親ウィンドウへ転送する仕組み その結果、攻撃者のJavaScriptが「ユーザー操作っぽく」ふるまえてしまった さらにVSCodeの機能を組み合わせることで、悪意ある extension の導入まで狙える流れが説明されている ただし、記事は実際のPoCや防御の考え方、VSCode側の対応も含めて公開されている この記事は、「VSCodeのバグを使うと、1クリックでGitHub token を抜かれるかもしれない」という、かなりゾッとする話を扱っています。 ここでいう GitHub token は、ざっくり言うと GitHub上であなたの代わりに操作するための合鍵 みたいなものです。 しかも記事で問題にしている token

GitHub Copilotのセッションを、VS CodeやCLIから始めて、WebやGitHub Mobileで続けられるようになった `/remote on` によって、ローカルの作業を外出先でも追いかけられる 進捗の確認だけでなく、途中で指示を追加して進路変更もできる PRの確認やマージまで、スマホを含む複数端末で一連の流れを回せる GitHubはこれを 一般提供（generally available） として公開した GitHubが、Copilotの「リモート操作」を正式提供しました。 対象は GitHub Copilot CLI sessions で、`github.com` と GitHub Mobile から操作できます。さらに、記事では VS Code と JetBrains IDE にもリモートコントロールが広がると説明されています。 ざっくり言うと、PCの前でCopilotに仕事を始めさせて、その続きをスマホで見る・直す・進める という世界です。 これ、地味に見えてかなり面白いです。AIエージェント系の機能って、「実

GitHubは、悪意あるVisual Studio Code拡張機能による侵入を受けたと公式に認めた 被害は約3,800の内部GitHubリポジトリに及んだ GitHubは重要なsecretやcredential（認証情報）をローテーションしたと説明している 犯行を主張するハッカー集団TeamPCPは、ソースコードを盗んだうえで5万ドルで売ろうとしたとされる 企業側の“開発ツール”を悪用する手口で、サプライチェーン攻撃の怖さが改めて目立った Tom's Hardwareによると、GitHubの内部リポジトリが、悪意あるVisual Studio Code拡張機能をきっかけに侵害されたことが、GitHub自身のX投稿で明らかになりました。 ここでいう拡張機能は、VS Codeに追加して使う“便利機能”のことです。たとえばコード補完を強化したり、テーマを変えたり、作業を自動化したりできます。 つまり本来は開発者の味方。でも今回は、その“便利な道具”が侵入口になったわけです。いや、これはかなり嫌な話です。攻撃者は正面から強引に入

GitHubは、社員の端末に悪意あるVS Code拡張機能が入ったことで、内部リポジトリが漏えいしたと認めた 影響を受けたのは顧客データではなく、GitHub内部のリポジトリだと説明している 攻撃者側は約4,000リポジトリの窃取を主張しており、GitHubの調査結果とかなり近い この事件は、開発者向けツールの“便利さ”がそのまま攻撃面にもなることを改めて示した VS Code拡張機能を悪用する手口は珍しくなく、過去にも似た事例が何度も起きている GitHubが、約3,800の内部リポジトリが侵害されたと確認しました。きっかけは、同社の社員が悪意あるVS Code拡張機能をインストールしてしまったことです。 VS Codeとは、Microsoftの人気コードエディタ「Visual Studio Code」のこと。 そして拡張機能は、エディタに機能を足すためのプラグインです。たとえばコード補完を強化したり、特定のクラウドサービスとつないだりできます。便利な反面、ここに“毒入り”が混ざると厄介です。かなり厄介です。 GitHubはこの