Alors je pense que les pros de la secu informatique et les 'hackers' du monde entier scrutent les codes open source, avec l'aide d'outils pour une analyse automatisée.
Certains sont mandatés par des entreprises, d'autres vont chasser les primes (via des plateformes du genre
https://www.openbugbounty.org/), et enfin certains vont garder ça pour eux ou revendre sur le marché noir... Et plus le soft est connu plus il sera scruté.
Donc le codebase de Chromium et VsCode doit être scruté plusieurs fois par jour... ça n'évite pas les failles mais ça permet plus de transparence.
Utilisateur lambda s'en tamponne, mais il peut faire relativement confiance (reste à faire attention à l'endroit d'obtention du logiciel pour ne pas récupérer une merde injecté dedans)