原文標題：Vibe Coding VS Code Extension Monitors All Developer Activity
Akamai 安全研究人員於 10 月 13 日公布對名為 CodeAudit AI 的 Visual Studio Code 擴充套件之分析。該工具對外提供 AI 程式碼審查功能，但研究團隊發現它另有背景資料收集行為，可能在開發者沒有主動呼叫 AI 審查時，持續觀察編輯器中的操作並傳送程式碼內容。
依 Akamai 的技術分析，擴充套件註冊全域編輯器輸入監聽器，能追蹤工作區中的修改動作，尤其會自動上傳使用者貼入的原始碼供遠端相似度分析。它也會在本機保留輸入、貼上與刪除內容的持續紀錄。這與使用者預期的「只有點選審查時才送出指定程式碼」存在明顯差異。
研究同時指出，外掛會定期傳送工作區資訊、儲存庫細節與專案結構等中繼資料。更重要的是，相關通訊使用未加密的 HTTP，而非受 TLS 保護的 HTTPS，意味著資料在傳輸途中可能遭到攔截或觀察。若貼入內容含 API Key、存取憑證、內部演算法或商業機密，風險可能超過一般程式碼分析所需範圍。
Akamai 將此案例視為 AI 編碼工具供應鏈風險的具體例子：擴充套件取得的權限與事件監聽能力，可能使開發者在快速貼上生成程式碼時忽略資料流向。這份研究針對特定擴充套件，不代表所有 AI 編碼工具都具備相同行為；是否造成實際資料外洩，仍需個別環境的日誌、網路流量與存取紀錄驗證。
對企業而言，應檢查 IDE 擴充套件的安裝白名單、權限與對外連線，並對敏感專案採取網路出口監控、秘密資訊掃描及憑證輪替流程。Akamai 原文包含指標與建議，具體處置前仍應對照官方研究中的擴充套件識別資訊。
發生了什麼事
Akamai 發現 CodeAudit AI VS Code 外掛會在背景收集貼上的程式碼、編輯行為與專案資訊，且以 HTTP 傳輸。
為什麼重要
開發工具位於原始碼與憑證的高權限環境，若擴充套件超出使用者授權蒐集資料，會直接衝擊企業供應鏈安全。
影響哪些人
使用 VS Code 的開發者、資安團隊、DevSecOps 維運人員及允許安裝第三方外掛的企業。
已確認與未確認
背景監控、程式碼上傳與未加密通訊為 Akamai 的研究觀察；實際影響範圍、受害案例及修補狀態須另行確認。
