字节旗下AI编码工具TRAE因同步Open VSX插件市场存在安全隐患，被指恶意插件未及时下架，可能导致数据泄露或供应链攻击。TRAE团队称同步机制曾短暂中断并已修复，但安全人士不认可，指出最新恶意插件仍在更新。建议开发者直接从Open VSX下载插件，避免经TRAE市场中转。

JetBrains报告发现15个恶意第三方插件窃取开发者的AI API密钥。这些插件伪装成合法工具，秘密收集API密钥。JetBrains已删除这些插件，封禁相关账户，并远程禁用受影响插件。用户需检查IDE插件，清除未验证工具，并更新API凭证以确保安全。建议开发者使用注册的工具以降低攻击风险。

GitHub因员工安装恶意VS Code插件，导致约3800个内部代码库被盗。攻击者通过供应链攻击，利用开发者对扩展市场的信任，窃取敏感信息。GitHub已迅速隔离受影响设备并更换密钥，强调开发工具的安全性亟待加强，提醒开发者谨慎使用扩展以防泄露敏感数据。