O incidente que comprometeu milhares de repositórios por meio de extensão adulterada resume, num caso só, três hábitos que convivem em quase toda equipe de desenvolvimento.
O primeiro é instalação sem avaliação. Extensão de editor entra por decisão individual, o que é necessário para produtividade e significa que ninguém sabe listar o que está instalado nas máquinas da equipe.
O segundo é credencial ampla e sem prazo. A mesma máquina costuma guardar acesso a vários projetos, chave de nuvem compartilhada e credencial de publicação, quase sempre sem expiração curta.
O terceiro é novo e cresceu rápido: arquivo de configuração de ferramenta de IA, que reúne chave de interface e a lista do que o assistente pode alcançar, funcionando como mapa pronto de acesso.
As três coisas juntas transformam o computador de quem programa no ativo mais concentrado de acesso da empresa. A correção não exige produto novo e é impopular por atrito: prazo curto de credencial, escopo por projeto, chave fora do repositório e revisão do que cada ferramenta instalada alcança.
Nenhuma dessas medidas teria impedido a extensão de entrar. Todas teriam reduzido o que ela levou embora.